パスワードマネージャーは、オンライン上の大切な情報を「RAMにさらす」ことでマルウェアに感染させる可能性があるが、それでも他の方法よりはましだ。

更新監査によって、少々厄介ではあるものの、大惨事には至らないセキュリティ上の欠陥がいくつか明らかになったことを受けて、情報セキュリティの専門家たちが、最も人気のあるパスワード マネージャーのいくつかを厳しく批判している。

ISEの研究者らは火曜日、1Password、KeePass、LastPass、Dashlineなどのアプリケーションには脆弱性があり、Windowsマシン上の悪意のあるソフトウェアがアプリケーションに保存されているマスターパスワードまたは個々のパスワードを盗む可能性があると発表した。

ここで問題となるのは、主にセキュアなメモリ管理です。4つのパスワードマネージャーのいずれも、ある程度、パスワード（マスターパスワードまたは個々の認証情報）をメモリ上に残していました。そのため、システム上のマルウェア、特に管理者権限を持つマルウェアがこれらのパスワードを取得する可能性がありました。

ええ、もちろんです…分かっています。理解しています。スパイウェアにコンピュータが感染したら、もうお手上げです。ここで重要なのは、悪質なソフトウェアがパスワードマネージャーから一気にログイン情報を盗み出す可能性があることを示すことです。これは、パスフレーズマネージャーの開発者やマルウェア研究者への警告だと考えてください。

マルウェアが PC に侵入した場合、パスワード マネージャーを偽装してマスター パスフレーズを盗み出す可能性もあると考えられますが、一方で、役に立つ情報が RAM 内に眠っているのに、なぜわざわざそんな手間をかける必要があるのでしょうか。

つまり、ここで言いたいのは、これは今すぐにパニックになるようなことではないということです。少なくとも、パスワード マネージャーの設計者はこれを認識しておく必要があります。

研究チームは、パスワードマネージャーはシステム起動直後など、起動していない状態では脆弱ではないが、ユーザーがマネージャーを開いてマスターパスワードを入力した後で初めて脆弱性が露呈すると指摘した。つまり、少なくともディスクに保存されているパスワードは安全である。

「私たちが調査したすべてのパスワードマネージャーは、『実行されていない』状態でもユーザーシークレットを十分に保護していました。つまり、パスワードデータベースがディスクから抽出され、強力なマスターパスワードが使用されていた場合、パスワードマネージャーへのブルートフォース攻撃は計算量的に不可能になるということです」とチームISEは説明しました。

各パスワードマネージャーはメモリから秘密情報を削除しようと試みました。しかし、秘密情報を含むバッファが残っていました。これは、メモリリーク、メモリ参照の消失、あるいは秘密情報をサニタイズするための内部メモリ管理メカニズムを公開していない複雑なGUIフレームワークなどが原因である可能性が高いです。

パスワードマネージャーも、新しいバージョンでは必ずしも性能が向上しているわけではありません。ISEは1Passwordの2つのバージョン（4.6.2.626と7.2.576）を調査した結果、以前のビルドの方が新しいバージョンよりもパスワード保護能力が優れていることが判明しました。これは、新しいビルドではマスターパスワードが入力されるとすぐに、すべてのパスワードがプレーンテキストとしてメモリに読み込まれるためです。

記載されている欠陥の一部は既に修正されています。LastPassの広報担当者はThe Registerに対し、同社製品で報告されているメモリ漏洩問題は既に解決済みであり、たとえ欠陥が存在したとしても、現実世界で悪用するには、攻撃者が管理者権限でマシンにローカルアクセスする必要があると述べました。

このレポートは、パスワードマネージャーの使用を推奨するものではありません。ISEが発見した軽微な欠陥はあるものの、パスワードマネージャーはログイン認証情報を安全に保つための最良の方法であることに変わりはなく、専門家はオンラインアカウント用の複数の固有かつ強力なパスフレーズを管理する方法として、パスワードマネージャーを常に推奨しています。

「まず第一に、パスワードマネージャーは良いものです」とTeam ISEは指摘しています。「私たちが調査したすべてのパスワードマネージャーは、秘密管理のセキュリティ体制に付加価値をもたらしています。」

安全を保つための注意事項の詳細については、前述のリンク先のレポートを参照してください。®

追加更新

1Password は、RAM からパスワードを盗み出す能力はよく知られた問題であり、根本的な原因に対処するためにできることはあまりないと考えている。

「これはこれまで何度も公に議論されてきたよく知られた問題だが、どんなもっともらしい解決策も病気よりも悪いかもしれない」と、自称ダークアーツの首席擁護者であるパスワードマネージャーのジェフリー・ゴールドバーグ氏は言う。

「この特定の問題を修正すると、新たな、より大きなセキュリティリスクが生じるため、たとえメモリを即座にクリアできなくても、高レベルのメモリ管理によって得られるセキュリティを維持することを選択しました。」

長期的には、このようなトレードオフは必要なくなるかもしれません。しかし、利用可能なツールと技術を考慮すると、ユーザーの安全を守るために最善の方法を決定せざるを得ませんでした。私はこの決定を支持します。この問題による現実的な脅威は限定的です。メモリ内のこの情報を悪用できる攻撃者は、既に非常に強力な立場にあります。パスワードマネージャー（あるいは他のいかなるもの）も、侵害されたコンピュータ上で安全に動作することを保証することはできません。

同様に、Keepass はThe Regへの声明で、この問題を「プロセス メモリ保護のよく知られた文書化された制限」と説明しました。