Password Vault によるデータの保護: 暗号化、PIN コード、ストレージ

概要

Password Vault は、SharePoint Online のページと Microsoft Teams で使用する個人用のパスワード マネージャーです。各ユーザーは、自分の資格情報を自分の OneDrive にある 1 つの暗号化されたファイルに保管します。この記事では、データがどのように保護されるかを層ごとに説明し、PIN コードが果たす役割と果たさない役割、保管庫のどの部分が暗号化されるか、Password Vault がどのような資格情報を想定して設計されているかを説明します。製品を理解したいエンド ユーザーと、製品を審査する管理者およびセキュリティ担当者を対象としています。

まとめ

第 1 層: Microsoft 365 のサインインと OneDrive のアクセス制御

Password Vault には、独自のアカウント、サーバー、データベースはありません。Web パーツはサインインしているユーザーのブラウザーで実行され、そのユーザーの ID で Microsoft Graph を通じて保管庫を読み書きします。ファイルはユーザー自身の OneDrive に保存されるため、そこにある他のファイルと同じ仕組みで保護されます。つまり、Microsoft 365 のサインイン (組織で使用している場合は多要素認証と条件付きアクセスを含む)、OneDrive のアクセス許可、組織の Microsoft 365 のポリシーです。

Password Vault は、サインインしているユーザーのアプリ フォルダーを操作するため、委任されたアクセス許可 Files.ReadWrite.AppFolder を要求します。このアクセス許可自体は、そのユーザーの他のファイルや別のユーザーの OneDrive へのアクセスを許可しません。SPFx ソリューションは共通のアプリケーション ID を使用するため、管理者はその ID に付与された他のアクセス許可も確認する必要があります。 KB10454. Microsoft Graph のアクセス許可 Files.ReadWrite.AppFolder: Password Vault に必要な理由と承認方法

保管庫はページではなくユーザーの OneDrive に保管されるため、Web パーツのあるページや Teams タブを開いたユーザーには、それぞれ自分の保管庫だけが表示されます。共有ページに Web パーツを配置しても、パスワードが共有されることはありません。

第 2 層: ブラウザー内でのエントリの暗号化

Password Vault は、保管庫を保存する前に、各エントリのテキスト フィールドを AES で暗号化します。暗号化と復号はユーザーのブラウザー内で行われ、ファイルは Microsoft Graph を通じてブラウザーとユーザーの OneDrive の間でのみ転送されます。そのため、値がプレーン テキストで保存または転送されることはありません。ファイルを開いた人には、名前、ユーザー名、パスワードの代わりに暗号化された文字列が表示されます。

暗号化キーは、ブラウザー内で PBKDF2-SHA256 (Web Crypto) を使用して PIN コードから導出されます。その際、ランダムな 16 バイトのソルトと 600,000 回の反復が使用されます。ソルトは、PIN コードを設定または変更するたびに新しく作成されます。キーはどこにも保存されません。保管庫ファイルにも、ブラウザーのストレージにも、Vitextra にも保存されません。キーは、保管庫のロックが解除されている間、開いているページのメモリ内にのみ存在します。PIN コードを確認する際、Web パーツは PIN コードからキーを導出し、確認値 (キーで暗号化された既知のテキスト) を復号します。確認値は、ソルトおよび反復回数と共にファイルに保存されています。PIN コードも PIN コードのハッシュも保存されません。そのため、保管庫ファイルだけではエントリを読み取ることはできず、PIN コードが必要です。

暗号化される情報とされない情報

保管庫のデータは、SharePoint リスト、Web パーツのプロパティ、ブラウザーの永続ストレージには書き込まれません。ロック解除中のキーと復号された値は、開いているページのメモリに保持されます。構成設定やライセンスのキャッシュは、保管庫のデータとは別のものです。

既存の保管庫は自動的にアップグレードされます

以前のバージョンの Password Vault で作成された保管庫は、以前のファイル形式を使用しています。この形式では、キーはファイルに保存された PIN コードの SHA-256 ハッシュとユーザーの Microsoft Entra ID オブジェクト ID から導出されていました。新しいバージョンで初めて正しい PIN コードを入力すると、Web パーツは PBKDF2 で導出した新しいキーですべてのエントリを再暗号化し、保管庫を新しい形式で保存します。エントリとその更新日時は保持され、失敗した試行のカウンターはリセットされます。ユーザーが何かを行う必要はありません。アップグレード後のファイルには、PIN コードのハッシュは含まれなくなります。

すべてのエントリを復号し、更新したファイルを正常に保存できた場合にのみ、アップグレードが完了します。どちらかに失敗すると、現在のセッションを以前の形式で続行する場合があります。ロック解除だけではアップグレードの成功を確認できません。

第 3 層: PIN コードとロックされた保管庫

PIN コードは、保管庫の作成時にユーザーが設定する 4 桁のコードです (KB10442. Password Vault で PIN コードを設定する方法を参照)。PIN コードが必要なのは、保管庫を開くときの 1 回だけです。Web パーツは、4 桁目の数字が入力された時点で PIN コードを確認します。それまでは保管庫はロックされており、Web パーツにはエントリが一切表示されません。エントリの名前さえ表示されません。一覧の代わりに、「続行するには PINコードを入力してください」と 4 つの数字入力ボックスを含む PINコードの入力 プロンプトが表示され、ツール バーには更新ボタンしかありません。

正しい PIN コードを入力すると保管庫のロックが解除され、保管庫が再びロックされるまで、これらの操作はすべて PIN コードを再度求められることなく直接実行できます。

PINコードの入力 プロンプトでは、入力中の数字はマスクされます。PINコードの設定 画面と PINコードの変更 画面では数字が表示されるため、PIN コードの設定や変更は、画面を誰にも見られない場所で行ってください。

自動ロック

ページが読み込まれた後、保管庫はロックされた状態です。エントリは表示されず、PINコードの入力 プロンプトだけが表示されます。正しい PIN コードを入力すると保管庫が開き、作業している間はロック解除されたままになります。Web パーツ内で 5 分間クリックもキー入力もなかった場合 (PINコードの変更 画面での操作も対象になります)、保管庫は再びロックされます。一覧は消え、表示されていたパスワードは非表示になり、キーはメモリから削除され、開いているすべてのダイアログ (新しいアイテム、プロパティの編集、削除の確認) は保存されずに閉じられます。ロック解除の状態は開いているページの中にしか存在しないため、ページを再読み込みしても保管庫はロックされます。KB10451. 自動ロック: Password Vault が PIN コードを再度要求するタイミングを参照してください。

失敗した試行の上限

時間が経ってもカウンターはリセットされません。 Web パーツに PINコードが正しくありません と残りの試行回数が表示されます。保存に成功すると、試行回数が保管庫ファイルに記録され、デバイスやセッションをまたいで集計されます。正しい PIN コードを入力するか PIN コードを変更すると回数はリセットされますが、その結果をファイルに反映するにも保存の成功が必要です。ファイルを読み取れない場合や回数を保存できない場合は、読み込み済みのデータが使用され、失敗がそのページ内でのみカウントされることがあります。続行する前に接続を復旧し、データを更新してください。誤った PIN コードを 5 回続けて入力すると、保管庫は 間違った PINコードが何度も入力されました。 というメッセージとともにブロックされ、リセット しか使用できなくなります。KB10455. Password Vault で PIN コードを誤って入力した場合: 5 回失敗するとどうなるかを参照してください。

Vitextra にデータは保存されない

Vitextra は、保管庫のデータを受信、保存、バックアップしません。Web パーツから Vitextra のサービスへの要求は、ライセンス チェックと、技術的な識別子を含む利用状況テレメトリのみです。詳細な一覧については、KB10363. Vitextra 製品がデータを保存する場所: プライバシー、データ所在地、GDPRを参照してください。

Password Vault の想定用途

Password Vault は、日常的に使用する資格情報 (Web ポータルや取引先のシステムへのサインイン情報、テスト アカウントなど、ユーザーがこれまでノートやテキスト ファイルに記録していたようなエントリ) を保管する、便利な個人用の場所として設計されています。その保護は、Microsoft 365 のアクセス制御と、4 桁の PIN コードから導出したキーによる保存された値の暗号化を組み合わせたものです。

Password Vault は特権アクセス管理システムではありません。ユーザー間の共有、管理者による回復、独自の監査ログ、強度の高いマスター パスワードはいずれも備えていません。管理者アカウント、サービス アカウント、チームで共有する資格情報、その他の高い特権を持つ秘密情報については、組織のポリシーに従い、組織が指定するツールを使用してください。他の方法との比較については、KB10440. Password Vault とブラウザーのパスワード マネージャー、エンタープライズ パスワード マネージャーの比較: どれを選ぶべきかを参照してください。

推奨事項

• Microsoft 365 アカウントを保護してください。保管庫の安全性は、OneDrive を所有するアカウントの安全性を超えることはありません。
• 推測されにくい PIN コードを選び (0000、1234、生まれ年などは避けてください)、安全な場所に控えておいてください。
• 保管庫ファイルを共有したりコピーしたりしないでください。コピーを持つ人は、10,000 通りの PIN コードすべてをオフラインで試すことができます。
• 短時間であっても、コンピューターから離れるときはロックしてください。
• コピーしたパスワードは、別のものをコピーするまでクリップボードに残ります。共有コンピューターでは、使用後にクリップボードをクリアしてください。
• 複数のデバイスやタブで保管庫を使用する場合、変更は自動的に統合されます。他の場所で行われた変更を表示するには、更新を押してください (KB10453. Password Vault がパスワードを保存する場所: OneDrive のアプリ フォルダーを参照)。 同じエントリを同時に編集した場合は、編集可能なフィールドに最後に保存された値が優先されます。
• 個人用のパスワード マネージャーに保管することを組織が許可している資格情報だけを保存してください。