1Passwordは、あなたのマスターパスワードを一度も受信していません - Qiita

パスワードマネージャーと聞くと、どんなイメージを持ちますか？おそらく多くの人が「クラウド上に自分のパスワード情報を預けるツール」だと考えているでしょう。でも実は、世界的に信頼されているパスワードマネージャー「1Password」の場合、あなたが入力するマスターパスワード（すべてのパスワードを管理するための親玉みたいなやつ）は、サーバには一度も送られていないんです。

これを聞くと不思議に思うかもしれません。「でも、どうやってサーバ側で本人確認をするの？」という疑問が出てきますよね。ここが現代的なセキュリティ技術の面白いところです。

1Passwordが採用しているのは「ゼロナレッジ暗号化」という手法です。簡単に言うと、あなたのパスワードはあなたのデバイス上で暗号化してから、その暗号化されたデータだけをサーバに送るという仕組み。つまり、サーバ側に保存されるのはあくまで「暗号化されたお金の入った金庫」で、マスターパスワードはその「鍵」です。鍵を持っているのはあなただけ。サーバはお金がどこに隠されているかは知っていても、その場所を開けることはできないわけです。

なぜこんなことができるのか。それは1Passwordが創業時から「ユーザーを信頼する」という哲学を貫いてきたからです。ほかのサービスなら、サーバ側でパスワードを受け取ることで、万が一サーバがハッキングされたとき、損失を限定できる仕組みにしているところもあります。でも1Passwordは違う。ユーザーだけが秘密を持つ設計にすることで、仮にサーバがハッキングされても「お金の入った金庫は盗まれても、鍵を持っていないから開けられない」という状態を実現しているのです。

このニュースが話題になった理由は、多くの人が「パスワードマネージャーって危ないんじゃないか」という漠然とした不安を持っていたからです。でも実際には、きちんと設計されたサービスを使えば、むしろ個人でバラバラにパスワードを管理するより、よほど安全だということが理解されるきっかけになりました。

ただし大事なのは、これが「すべてのパスワードマネージャー」に当てはまるわけではないという点。サービスによって暗号化の方式は異なります。何を信頼するかは、ユーザー自身が技術をある程度理解した上で判断する必要があります。