パスワード管理アプリを使うと、たくさんのパスワードを1か所にまとめられます。その代わり、アプリの入口になるパスワードを忘れてしまうと、すべてのパスワードが取り出せなくなるおそれがあります。
この記事では、パスワード管理アプリの入口になる「マスターパスワード」の考え方と、忘れたときやスマホをなくしたときのための備えを、私が使っている1Passwordを例にまとめます。
マスターパスワードとは
マスターパスワードは、パスワード管理アプリを開くためのパスワードです。1Passwordでは「アカウントパスワード」と呼ばれています。
総務省の「国民のためのサイバーセキュリティサイト」では、パスワード管理ツールは、マスターパスワード（覚えられる十分に安全なもの）や、スマホなどの端末のロックで守る必要があるとしています。
マスターパスワードは、アプリの中に保存しておくことができません。自分で覚えておく、ほぼ唯一のパスワードになります。
強いマスターパスワードの作り方
マスターパスワードは、強さと覚えやすさの両方が必要です。
- ほかのサービスで使っていない、マスターパスワードだけのものにする
- 長めにする
- 名前や誕生日など、推測されやすいものを使わない
- 意味のつながらない複数の単語をつなげたり、間に数字を挟んだりして、覚えやすくする
強いパスワードの作り方は、こちらの記事でくわしくまとめています。
安全なパスワードとは？使い回しの危険と強いパスワードの作り方
なぜ「復旧の備え」が必要なのか
パスワード管理アプリの多くは、保存した中身を、利用者しか開けないように暗号化しています。安全性が高い反面、マスターパスワードを忘れると、運営会社にも中身を取り出してもらえないことがあります。
1Passwordでは、マスターパスワード（アカウントパスワード）と「Secret Key（シークレットキー）」の2つを組み合わせてデータを守っています。公式サポートによると、1PasswordはSecret Keyの控えを持っておらず、なくしても再発行や復元はしてもらえません。
だからこそ、忘れたとき・なくしたときに自分で戻れるように、前もって備えておくことが大切です。
1Passwordの復旧の備え①：エマージェンシーキット
エマージェンシーキットは、1Passwordのアカウントに入るための情報をまとめたPDFです。公式サポートによると、次の内容が入っています。
- サインインのアドレス
- 登録したメールアドレス
- Secret Key
- アカウントパスワードを書き込む欄
- セットアップコード（スマホで読み取ってサインインしやすくするQRコード）
アカウントを作ったときに保存するよう案内されます。あとから1Password.comにサインインして、アカウントの管理画面から保存し直すこともできます。
公式サポートでは、エマージェンシーキットの扱い方として、次のような方法が紹介されています。
- 印刷して、大切な書類と一緒に安全な場所に保管する
- 印刷した1部に、アカウントパスワードを手書きで書き込んでおく
- 二段階認証を設定している場合は、そのときに表示された16文字のシークレットも書いておく
アカウントパスワードを書き込むかどうかは、自分で決めることができます。書き込まない場合でも、Secret Keyをなくさないよう、エマージェンシーキット自体は保管しておくことが大切です。
1Passwordの復旧の備え②：回復コード
回復コードは、アカウントパスワードを忘れたり、Secret Keyをなくしたりしてサインインできなくなったときに、アカウントに戻るためのコードです。公式サポートによると、個人版とファミリー版で使えます。
作り方
1Passwordのアプリでは、アカウントの管理画面から「サインインと復旧」に進み、回復コードを設定します。1Password.comのアカウント管理画面からも作れます。
大事なのは、前もって作っておくこと
回復コードは、サインインできているときにしか作れません。困ってからでは間に合わないので、元気なうちに作っておきます。
使うとき
1Password.comのサインイン画面から回復コードを入力し、登録しているメールアドレスに届く確認コードを入力して、新しいアカウントパスワードを決めます。公式サポートによると、復旧すると新しいSecret Keyが発行され、ほかの端末ではサインインし直しが必要になります。保存していたデータはそのまま使えます。
メールアドレスも使える状態に
回復コードを使うには、1Passwordに登録しているメールアドレスで確認コードを受け取る必要があります。登録しているメールアドレスが、今も受け取れるアドレスかどうかも確認しておきましょう。
二段階認証の予備も忘れずに
1Password自体に二段階認証を設定している場合は、認証アプリが使えなくなったときの予備（設定時に表示される16文字のシークレット）も保管しておきます。くわしくは、こちらの記事の「1Password自体のログインを守る｜二段階認証（二要素認証）の設定」で説明しています。
【使用レビュー】1Passwordソースネクスト版は買い？公式サブスクとの違い・コスパを実体験で解説
私の場合
私は、エマージェンシーキットを保存して保管し、回復コードも作って保管しています。1Passwordの公式サポートでも、どちらも安全な場所に保管しておくよう案内されています。二段階認証を設定したときの16文字のシークレットも、控えて保管しています。
どれも、ふだんはまったく使わないものです。でも、いざというときにこれがないと、1Passwordに入っているすべてのパスワードが取り出せなくなるかもしれません。使わないまま終わるのがいちばんですが、備えとして用意しておくことが大切だと考えています。
備えをチェックしよう
最後に、確認しておきたいことをまとめます。
- マスターパスワードは、ほかで使っていない、長めのものになっているか
- エマージェンシーキットを保存し、安全な場所に保管しているか
- 回復コードを作り、アプリの外の安全な場所に保管しているか
- 1Passwordに登録しているメールアドレスは、今も受け取れるか
- 二段階認証の予備（16文字のシークレット）を保管しているか
- パソコンとスマホなど、複数の端末でサインインしたままになっているか
まとめ
パスワード管理アプリは、入口になるマスターパスワードが大切です。強いものにしたうえで、忘れたときやなくしたときに戻れるよう、前もって備えておきましょう。
1Passwordなら、エマージェンシーキットの保管と、回復コードの作成が備えの中心です。どちらも、困ってからでは用意できないものなので、今のうちに確認しておくと安心です。
参考資料
Get to know your Emergency Kit（1Password Support）
