Keeperボルトの保護

ボルトへのアクセスを保護するための推奨事項

概要

Keeperは、暗号化を基盤としたプラットフォームであり、お客様のデータを保護するためのポリシーと管理機能を備えています。このセキュリティモデルでは、お客様ご自身も推奨されるセキュリティ対策を実践し、ボルトtへのアクセスを保護する責任があります。ユーザーのボルト内に保存されたデータを保護するために推奨されることを以下にまとめました。

強力なマスターパスワードを作成する

マスターパスワードを使用してKeeperにログインするユーザーの場合、データキーの暗号化および復号に使用されるキーは、パスワードベースのキー導出関数 (PBKDF2) を使用してマスターパスワードから導き出され、デフォルトでは100万回の反復処理が行われます。ボルトにログインするすべてのユーザーは自動的に100万回の反復へ移行されます。

ユーザーがマスターパスワードを入力すると、キーはユーザーのデバイス上で生成され、そのキーを使用して256ビットAESデータキーが復号されます。データキーの復号後は、そのキーを使用して各レコードキーおよびフォルダーキー (いずれも256ビットAES) が復号されます。さらに、レコードキーによって保存されている各レコードの内容がデバイス上で復号されます。

Keeperでは、不正アクセスを防ぐため、デバイス認証、アクセス制限（スロットリング）、Amazon Web Services (AWS) 環境における各種保護機能など、複数の対策を実装しています。また、複雑なマスターパスワードを設定することで、暗号化されたボルトに対するブルートフォース攻撃のリスクを大幅に低減できます。

米国国立標準技術研究所 (NIST) では、Special Publication 800-63Bでパスワードのガイドラインを規定しており、使いやすさとセキュリティの間のバランスを奨励しています。つまり「覚えやすく、推測されにくいパスワード」を設定することが重要とされています。NISTでは8文字以上のパスワードを推奨していますが、文字数が多いほど推測や解析が困難になります。Keeperでは、マスターパスワードを12文字以上に設定することを必須としています。

Keeperアカウントで2FAを有効にする

2FAは、どの個人向けアカウントにもビジネス向けアカウントにも追加できますが、ビジネスユーザーは、さまざまな段階での制御およびセキュリティオプションを備えた2FAの使用を必須にすることが可能です。2FAは、マスターパスワードの入力の前に行われます。マスターパスワード入力前にデバイス認証と2FAを実行することで、ブルートフォース攻撃、パスワードテスト、アカウント列挙などの攻撃を軽減できます。

2要素認証を有効にするには、Keeperウェブボルト、Keeperデスクトップ、モバイルアプリの設定画面へアクセスします。

Keeperでは、2つ目の要素としてYubiKeyやGoogle Titanキーなど、FIDO2互換のWebAuthnハードウェアのセキュリティキーにも対応していますので、安全かつ便利に2FAを行う手段としてご検討いただけます。

お使いのメールアカウントで2FAを有効にする

メールアカウントへのアクセスは、個人情報を保護する上で重要な要素となります。メールアカウントには、Keeperで作成した強力な自動生成パスワードを設定し、さらに多要素認証も利用するようにしましょう。メールプロバイダからの手順に従って、可能な限り厳格な認証方法を有効にしてください。

可能であれば、YubiKeyやGoogle Titanキーなどのハードウェアセキュリティキーを使用してメールアカウントを保護することを推奨します。メールサービスがハードウェアセキュリティキーに対応していない場合や、YubiKeyをお持ちでない場合は、TOTPコードジェネレーターを利用することをおすすめします。

Keeperは、メールアカウントやその他のサービスにログインするためのTOTPコードを保存する機能を備えています。Keeperボルト内でのTOTPコードの保護の詳細について詳しくは、こちらのページをご参照ください。

2FAにSMSを使用することについては何もしないよりは良いとは言え、SIMスワップ詐欺が発生しておりますので注意が必要です。

ブラウザの拡張機能に注意する

セキュリティ対策の基本として、広告ブロッカーやクーポンツール、そのほかの便利なユーティリティなど、サードパーティ製のブラウザプラグインやブラウザ拡張機能をインストールする際は十分注意してください。多くのブラウザ拡張機能は高い権限を要求し、閲覧するウェブサイトやブラウザベースのアプリケーション上の情報へアクセスできる場合があります。インストールする前に、開発元を十分に信頼できることを確認し、セキュリティ認証を取得しているかどうかも確認することをおすすめします。

その他のセキュリティ関連の質問がございましたら、お気軽に弊社 ([e-mail]) までメールでお問い合わせください。