パスワードマネージャーと暗号資産：保存すべきもの、決して保存してはいけないもの
パスワードマネージャーは、ほとんどの人が導入できる最良のセキュリティツールの一つです。強力で使い回しのないパスワードを生成し、正しいサイトでのみ自動入力し、パスワードの使い回しをなくします。この使い回しこそが、アカウント乗っ取りの非常に大きな割合の原因となっている習慣です。
そこで当然、こんな疑問が浮かびます。暗号資産の秘密情報もそこに入れるべきでしょうか？一部はイエスです。しかし、ある種類のものはほぼ決して入れるべきではありません。ここでは、その線引きの方法を説明します。
パスワードマネージャーが得意なこと
- 取引所、メール、サービスごとに固有の強力なパスワードを使えるので、一つの漏えいが他のアカウントに波及しません。
- フィッシングへの耐性。優れたマネージャーは、パスワードを保存したときとまったく同じドメインでしか自動入力しません。自動入力を提案してこない場合、偽サイトにいる可能性があります。これは無料の警告サインです。
- アカウント復旧コードなどのための安全なメモと共有機能。暗号化を自分で構築する必要はありません。
取引所のログイン、メール、ウォレットアプリのロックを解除するパスワードなど、アカウントを守るものすべてにとって、通常はここが適切な保管場所です。
線引き：アカウントと鍵
この二種類の秘密情報には、根本的な違いがあります。
- アカウントのパスワードは、サービスへのアクセスを守るものです。漏えいしても、サービス側には二要素認証、出金確認、新しい端末の通知といった他の防御策があり、パスワードはリセットできます。
- リカバリーフレーズや秘密鍵は、それ自体がお金です。それを手にした人は誰でも、どこからでも資金を支配できます。間に入るサービスも、第二の要素も、リセットもありません。
パスワードマネージャーは、多くの秘密情報を一つのマスターパスワードの背後に集約します。通常はクラウド経由で同期され、日常的に使う端末でロック解除されます。アカウントのパスワードにとっては妥当な取引です。しかしリカバリーフレーズの場合、最も価値の高い秘密情報が、オンライン上にあり、汎用のコンピューター上にあり、マスターパスワードが一度破られれば流出してしまう保管庫の中の一項目になってしまいます。
保存すべきもの、そうでないもの
パスワードマネージャーに入れてよいもの：
- 取引所とメールのパスワード。
- それらのアカウントの二要素認証バックアップコード（理想的にはパスワード本体とは別の保管庫に）。
- 端末上でウォレットアプリのロックを解除するパスワード。
- 構成に関するメモ：どのウォレットを使っているか、バックアップをどこに保管しているか。ただし秘密情報そのものは含めません。
入れてはいけないもの：
- リカバリーフレーズ（シードワード）。
- 秘密鍵と拡張秘密鍵。
- リカバリーフレーズのバックアップの写真やスキャン画像。
リカバリーフレーズはオフラインで、紙や金属に記録し、物理的に安全な場所に保管すべきです。選択肢についてはシードフレーズのベストプラクティスで解説しています。
パスワードマネージャー自体を強固にする
マネージャーに取引所やメールのパスワードを保存するなら、しっかりとした保護に値します。
- 他のどこでも使っていない、長く固有のマスターパスワード。
- マネージャーのアカウントに強力な二要素認証を。SMSではなく、認証アプリやセキュリティキーを使いましょう。違いについてはモバイル二要素認証の正しいやり方で説明しています。
- ロック解除に使う端末を最新の状態に保ち、不要なブラウザー拡張機能には注意しましょう。
- 緊急アクセスの計画を用意しましょう。多くのマネージャーは信頼できる連絡先の登録に対応しており、あなたに万一のことがあってもアカウントが失われずに済みます。
SSP ではどう機能するか
SSP には二種類の秘密情報があり、この区分にきれいに対応します。
- 端末上で SSP Wallet と SSP Key のロックを解除するパスワード。これらは各端末にローカル保存された暗号化済みの鍵を守ります。SSP Wallet のパスワードをパスワードマネージャーに保存するのは、多くの人にとって妥当な選択です。
- 二つのリカバリーフレーズ。一つは SSP Wallet 用、もう一つは SSP Key 用です。これらはあなたの保管庫の鍵です。オフラインで保管し、互いに別々の場所に置いてください。
二つ目の点は、単一鍵のウォレットよりも SSP においてさらに重要です。資金を動かすには両方の鍵が必要です。もし二つのリカバリーフレーズが同じパスワードマネージャーにあれば、そのマネージャーに侵入した人は両方の鍵を一度に手に入れ、2-of-2 の設計はもはやあなたを守れません。別々に、オフラインで保管していれば、コンピューターやパスワードマネージャーが侵害されても、攻撃者には依然として鍵が一つ足りません。
パスワードマネージャーが侵害されたら
- マスターパスワードを変更し、アカウントのセッションと端末を確認します。
- 最も価値の高いアカウントのパスワードから変更します。メールと取引所です。
- リカバリーフレーズをそこに保存したことが一度でもあれば、そのウォレットは侵害されたものとして扱います。新しいウォレットを作成し、資金を移動してください。
- 取引所を確認し、身に覚えのない新しい出金アドレス、接続用キー、設定がないか調べます。
率直なまとめ
パスワードマネージャーを使いましょう。ほぼすべてのアカウントがより安全になります。ウォレットアプリのロックを解除するパスワードも含め、パスワードはそこに入れましょう。リカバリーフレーズはそこから外し、オフラインで保管し、SSP のようなマルチシグでは互いに分けておきましょう。
ルールはシンプルです。リセットできる秘密情報なら、マネージャーは良い保管場所です。その秘密情報がお金そのものなら、オンラインのどこにも置くべきではありません。構成の残りについては、暗号資産の運用セキュリティチェックリストが次の一歩として最適です。
