危険！Chromeの機能でID・パスワードを保存していませんか？
Google製のインターネットブラウザ「Chrome」は、パソコンのブラウザとして、長らく最も利用されてきたInternet Explorerを抜いて、現在シェア1位になっています(2019年2月現在)。
そのChromeには「パスワード管理」ならび「オートコンプリート」という機能があります。例えば、様々なクラウドサービスにログイン時する際のID・パスワードなどの情報を、Chromeが保存・管理してくれるという機能です。
一見大変便利な機能に思えますが、セキュリティ的には大変危険であることから、いますぐにでもこの機能をOFFにする必要があります。
パスワードが平文で閲覧できてしまう危険性
Chromeのパスワード管理やオートコンプリート機能では、「ID」「パスワード」をはじめとする、ブラウザ上で頻繁に入力される情報をChrome内部で保存し、入力フォーム上で自動表示させます。これらの情報は暗号化されて保管されていますが、平文で表示することが可能であることから危険性が指摘されています。
ちなみに、「正当な権限さえあれば、パスワードを平文で確認・表示できる」危険性は、企業の顧客データベースが攻撃されることだけではありません。例えば、顧客情報にアクセスする権限のある従業員が自身のパソコン（アクセス権限があるパソコン）にある「パスワードを平文で確認できる」ということは、攻撃された場合にパスワードが全て持ち去られ、最終的には顧客情報も持ち去られることを意味します。いくらパスワードが暗号化されているとはいえ、平文で確認・表示できること自体が大変に危険な状態です。
外部から攻撃を受け、不正アクセスを受けたパソコンのChromeに、会社の顧客データベースのID・パスワードが保管されている場合を想像してみてください。侵入者は、保存されたID・パスワードを平文で確認することが可能です。そして、確認したパスワード使って、安全な場所から情報にアクセスして、機密情報や顧客情報を根こそぎ盗み去ってしまうでしょう。侵入者からすると、「顧客データベースを直接攻撃」しなくても、「重要データにアクセス権がある、たった1人の従業員のパソコン」に侵入し、平文のID・パスワードを盗み出せば、それで目的を達成できるのです。
ちなみに、ご自身のChromeでIDやパスワード、オートコンプリートの情報がどのように平文で表示されるかは、以下から確認できます。
（以下のスクリーンショットは、Chromeのバージョン 60.0.3112.90の画面となります。バージョンにより画面が若干異なる場合があります。）
1.Chromeウィンドウ右上の「設定ボタン（縦に並ぶ３個の点）」をクリック
2.「設定 (S) 」をクリック
3.詳細設定ボタンをクリック
画面を下方向にスクロールさせ、「詳細設定」ボタンを表示させ、クリックします。
4.自動入力の設定、またはパスワードを管理の右側をクリック
4-1.「自動入力の設定」右側をクリック→オートコンプリートの保存内容が表示
オートコンプリートで登録されている住所、名前、クレジットカード情報などが表示されます。
4-2.「パスワードを管理」右側をクリック→ID・パスワードの保存内容が表示
Webサイトのアドレス、ID（ユーザー名）、パスワードの登録情報が表示されます。パスワードは内部的には暗号化されて保存されていますが、以下の動作で平文表示ができます。保存されているパスワードを確認するには、各行の右側に縦に「…」が3つ並んでいる部分をクリックしてください。
その後、表示される「詳細」を押してください。
次に、「保存パスワードの詳細」画面で、パスワード右の、目のアイコンをクリックしてください。
Windowsのパスワードが求められた場合は、ログオン時のパスワードを入力し、OKをクリックします。
これで、保存されているパスワードが表示されます。こうしたパスワードは暗号化されていますが、平文表示が可能となっています。
Chromeの設定変更・平文表示可能な情報を消去
次に、ID・パスワードなど平文表示可能な情報を、Chrome内に保持しないようにする方法をお伝えします。
（以下のスクリーンショットは、Chromeのバージョン 60.0.3112.90の画面となります。バージョンにより画面が若干異なる場合があります。）
1.Chromeウィンドウ右上の「設定ボタン（縦に並ぶ３個の点）」をクリック
2.「設定 (S) 」をクリック
3.詳細設定ボタンをクリック
画面を下方向にスクロールさせ、「詳細設定」ボタンを表示させ、クリックします。
4.「予測サービスを使用してアドレスバーに入力した検索とURLを補完する」をオフにする
5.「自動入力の設定」の右側のボタンをクリック
6.「自動入力の設定」をオフにする
7.設定を一度閉じ、再度設定アイコンをクリック
「その他のツール」→「閲覧履歴を消去」をクリック。
8.「閲覧履歴データを消去する」で、「パスワード」と「自動入力フォームのデータ」を選択した後、「閲覧履歴データを消去する」をクリックする。
この際、他のチェックボックスにチェックが入っている場合、チェックを外してください。
これで「設定変更」ならび「現在保存されているデータの消去」の両方が完了です。
なお、貴社にてActive Directoryが導入されており、Chromeにグループポリシーを適用している場合、これを利用することが可能です。詳細は以下FAQ、
「社員のブラウザ（Chrome）にパスワードを保存させない方法はありますか？」
をご覧頂き、設定方法ならび、変更方法をご確認ください。
利便性とセキュリティを両立させるトラスト・ログイン
以上、Chromeのパスワード管理・オートコンプリートの危険性と、設定変更・データ消去方法をお伝えしました。なお、情報セキュリティ管理者に理解してほしいことは、「これらの機能をオフにすることは、セキュリティの向上には貢献しますが、ユーザーの利便性を損なってしまう」という点です。ユーザーからすると、「これまではワンクリックでパスワードを入力できていたのに、機能がOFFにされると毎度入力しなければならなくなる」ため、「不便になった」「パスワードを忘れた」といったクレームや問合せが上がってくる可能性が高いです。
また、「パスワードを毎度入力しなければならなくなると、その面倒から、同じパスワードを使い回す危険」も増えてしまいます。これでは、せっかくセキュリティを高めるために取った対策が逆効果になってしまいます。
よって、ここで考慮すべきなのは、「セキュリティを確保しつつ、利便性も犠牲にしない」ユーザーにとってデメリットのない方法です。こうしたニーズの高まりから、現在では、セキュリティと利便性の両立のため、IDaaS (ID as a Service, クラウドでの企業向けID管理サービス)を活用する企業が急増しています。
国産IDaaSである「トラスト・ログイン」は、企業が無料で導入できるシングルサインオンサービスです。トラスト・ログインを用いることで、各クラウドサービスや業務システムのID・パスワードを情報システム部門で一元管理することができます。そしてユーザーは、トラスト・ログイン経由で1つのID・パスワードを使って、様々なシステムにログインを行うことができるようになります。
パスワードはユーザー各人に管理させることもできますし、ユーザー各人にはパスワードを一切教えず、管理者だけが知っている状態にすることもできます。
「セキュリティを確保しつつ、利便性を犠牲にしない」、これがトラスト・ログインです。
トラスト・ログインは、1IDから無料でご利用頂くことが可能です。詳細を確認し、貴社での利用をぜひご検討ください。
