ブラウザはすでに無料で、しかも内蔵の形でパスワードを保存してくれると申し出てくれます——それなら、なぜ専用のパスワードマネージャーがそもそも存在するのでしょうか。両者は同じ基本的な問題（パスワードを毎回入力し直さなくて済む）を、大きく異なるセキュリティモデルで解決しています。この記事ではその両者を直接比較します。
TL;DR
- ブラウザのパスワード保存機能も専用マネージャーも、保存されたパスワードを暗号化します——意味のある違いは、ブラウザ横断/プラットフォーム横断の対応、セキュリティ監査、デバイスが侵害された場合に何が起こるか、という点にあります。
- ブラウザに保存されたパスワードは通常、デバイスのログインと同程度の保護しか受けません。専用マネージャーは、それとは独立したマスターパスワードの層を追加します。
- 専用マネージャーは一般に、クロスプラットフォーム同期（Chromeに保存したパスワードは別のデバイスのSafariでは役に立ちません）、共有、漏洩監視で優れています。
- どちらも、そもそも強力でユニークかつランダムに生成されたパスワードが必要であるという前提を代替するものではありません——両者はあくまでその保管手段にすぎません。
簡単な答え
ブラウザのパスワード保存は便利で、パスワードの使い回しよりは優れていますが、専用のパスワードマネージャーは一般により強力で持ち運び可能なセキュリティを提供します——主に、単一のブラウザベンダーのエコシステムに縛られておらず、通常デバイスのログインとは独立した独自のマスターパスワードを必要とするためです。どちらを選ぶにせよ、パスワード自体は覚えやすいが推測されやすい選択に頼るのではなく、PassGenerate のようなツールで生成してください。
それぞれが実際にどのようにデータを保護しているか
ブラウザのパスワード保存機能（Chrome、Firefox、Safari、Edge）は、保存されたパスワードを暗号化しますが、通常はオペレーティングシステムのユーザーアカウントの認証情報か、あなたが設定したブラウザ同期パスフレーズに紐づいています。ほとんどの構成では、誰かがあなたとしてデバイスにログインしていれば——あるいはマルウェアがあなたとして動作していれば——ブラウザ自体のログイン状態が鍵の役割を果たすため、比較的少ない追加ステップで保存されたパスワードにアクセスしたりエクスポートしたりできることが多いです。
専用パスワードマネージャー（NordPass、Bitwarden、1Password、Proton Passなど）は一般に、デバイスのログインとは独立した別個のマスターパスワードを使ってボールトの暗号鍵を導出します。つまり、ボールトのロック解除には、単にデバイスにログインしている以上のものが必要になります——デバイスへのアクセス権を持つ攻撃者でも、あなたのマスターパスワードが具体的に必要になるのです。特定のマネージャーがこれをどう実装しているかについては、NordPassレビュー を参照してください。
実際の事例：この違いが理論上のものではない理由
この2つのモデルの差は仮定の話ではありません——それは、情報窃取型マルウェアの一大カテゴリーの背後にある正確な仕組みそのものです。2020年に初めて確認され、現在も活動中のRedLine Stealerは、ブラウザに保存された認証情報を狙って特別に作られています：感染したデバイス上で実行されると、ブラウザのローカルな認証情報保存ファイルを特定し、それを復号するために必要な、同じくローカルに保存されている鍵を読み取り、保存されているすべてのユーザー名、パスワード、サイトURLを攻撃者へ流出させます——しかもブラウザ自体のログインプロンプトに触れる必要すらありません。ある記録された事例では、在宅勤務中の従業員が、すでにRedLine Stealerに感染していたデバイス上で、ブラウザのパスワード保存領域に会社のVPNパスワードを保存していました。約3ヶ月後、攻撃者はその盗まれた認証情報を使って会社のネットワークに侵入しました。
この特定の攻撃経路——頭の中に保持する別個の秘密ではなく、デバイスに紐づいているからこそローカルに保存されている復号鍵を読み取るというもの——は、専用マネージャーの独立したマスターパスワードがまさに防ぐように設計されているものです。同じレベルのデバイスアクセス権を持つマルウェアでも、専用マネージャーの暗号化されたボールトファイルは盗めますが、別途保管されているマスターパスワードがなければ、それを復号することはできません。
並べて比較
| 要素 | ブラウザ保存 | 専用パスワードマネージャー |
|---|---|---|
| 暗号鍵の出所 | 通常デバイスのログイン/ブラウザ同期パスフレーズに紐づく | 独立したマスターパスワード |
| ブラウザ横断対応 | なし——単一ブラウザのエコシステムに限定 | あり——拡張機能/アプリ経由でブラウザやOSを横断して動作 |
| 他者との認証情報共有 | 限定的、または未対応 | 安全な共有機能で対応していることが多い |
| 漏洩監視 | 徐々に普及しているが、ブラウザにより異なる | ほとんどの有料プランで標準機能 |
| 検証可能性 | ブラウザのソースは一部公開（Chromium）または非公開（Safari） | 様々——Bitwardenは完全にオープンソース、他の多くは非公開 |
| コスト | 無料、内蔵 | 多くの場合無料プラス高度な機能向けの有料プラン |
ブラウザ保存で本当に十分な場合
すべての状況で専用マネージャーが必要というわけではありません。すべてのデバイスで一貫して1つのブラウザを使い、デバイス自体のログインを強固に保ち、他の誰かと認証情報を共有する必要がない場合、ブラウザのパスワード保存は、記憶したパスワードの使い回しに比べて実質的なセキュリティ向上となります——その暗号化は正当なものであり、マネージャーの設定が面倒に感じられるからといってあちこちで少数のパスワードを使い回す代替策よりもはるかに優れています。
専用マネージャーへの切り替えが価値を持つ場合
専用マネージャーは、追加のセットアップの手間を、以下のような場合に正当化します：複数のブラウザを使っている、または異なるエコシステム間でパスワードが必要である（例：Windows上のChromeとiOS上のSafari）；特定の認証情報を家族やチームと、口頭で伝えたりSMSで送ったりせずに安全に共有したい；単一ベンダーの検知に頼るのではなく、独立した漏洩監視が欲しい；あるいは特にコードを監査できる選択肢が欲しい――この場合、Bitwardenのようなオープンソースの選択肢が最も適しています。そのコードベースは公開されており検証可能で、毎年サードパーティによる監査を受けており（セキュリティ企業Cure53を含む）、さらにチューリッヒ工科大学の応用暗号学グループによる専用の暗号学的レビュー、そして独自のバグ報奨金プログラムもあります。
どちらの方法でも単独では解決できないこと
ブラウザ保存も専用マネージャーも、あくまで保管手段です——弱いパスワードを強くするわけではありません。使い回された推測しやすいパスワードは、暗号化されたボールトに保存されていても、依然として使い回された推測しやすいパスワードのままです。ボールトはその使い回しをより便利にするだけです。実際のセキュリティ上の作業は、生成の時点で行われます：CSPRNGに基づいた生成ツールを使い、各アカウントごとにユニークでランダムなパスワードを作成し、それを記憶する作業は好みの保管方法に任せましょう。
重要なポイント
- ブラウザ保存も専用マネージャーも、保存する内容を暗号化します。本当の違いは、鍵の独立性、クロスプラットフォームの対応範囲、共有機能、検証可能性にあります。
- 単一のブラウザ、単一のエコシステムを使っており、認証情報を共有する必要がないなら、ブラウザ保存は妥当なデフォルトの選択肢です。
- 専用マネージャーは、クロスプラットフォーム同期、安全な共有、そして（特にBitwardenについては）オープンソースの検証可能性によって、そのセットアップコストを正当化します。
- どちらも弱いパスワードや使い回されたパスワードを解決しません——それは保管時ではなく、生成時に解決すべき問題です。
PassGenerateを信頼できる理由
- パスワードはWeb Crypto APIを使用してブラウザ内でローカルに生成されます。
- パスワードがサーバーに送信されることはありません。
- 暗号学的に安全な擬似乱数生成器（CSPRNG）を使用しています。
- NISTおよびOWASPが推奨する最新のセキュリティベストプラクティスに従っています。
参考文献
- RedLine Stealerマルウェア分析（ブラウザの認証情報保存領域を標的とするもの）
- Bitwardenのサードパーティセキュリティ監査（Cure53、チューリッヒ工科大学応用暗号学グループ）
- NIST SP 800-63B – デジタルアイデンティティガイドライン
- OWASP 認証チートシート
- MDN Web Crypto APIドキュメント
結論
ブラウザのパスワード保存も専用のパスワードマネージャーも、記憶したパスワードの使い回しよりは優れています。正しい選択は主に、実際に使用しているブラウザとデバイスの数、そして誰かと認証情報を共有する必要があるかどうかによって決まります。どの保管方法を選ぶかよりも重要なのは、何を保管しているかです——まず各アカウントに対してユニークでランダムなパスワードを生成し、その記憶は選んだ保管方法に任せましょう。