セキュリティガイド

ローカルパスワード生成のブラウザサポート

PwdGenがChrome、Edge、Safari、Firefox、モバイルブラウザでどのように動作するか、またWeb Cryptoが利用できない場合の動作について説明します。

概要

PwdGenは、Web Crypto APIをサポートするモダンブラウザ向けに構築されています。パスワード生成、パスワード強度推定、パスフレーズツール、ローカルユーティリティは、PwdGenサーバーではなくブラウザ上で実行されます。この設計は、crypto.getRandomValues()が利用可能な場合、Chrome、Edge、Safari、Firefox、および現在のモバイルブラウザで動作します。

Chromeのサポート

ChromeはセキュアコンテキストでWeb Cryptoをサポートしており、PwdGenの開発チェックに使用される主要ブラウザです。Chrome拡張機能パッケージも同じローカルのみのモデルに従います。リモートスクリプト、ホスト権限、パスワードの保存はありません。

Edgeのサポート

Microsoft EdgeはChromiumベースであり、PwdGenが使用するのと同じWeb Cryptoプリミティブをサポートしています。通常の使用では、EdgeユーザーはChromeユーザーと同じようにローカルでパスワードを生成、コピー、評価できます。

Safariのサポート

Safariは最新のmacOSおよびiOSリリースでWeb Cryptoをサポートしています。モバイルSafariユーザーは、コピーしたパスワードが置き換えられるまでシステムクリップボードに残る可能性があること、および長期保存にはiCloudキーチェーンまたは別のパスワードマネージャーを使用する必要があることに注意してください。

Firefoxのサポート

Firefoxはcrypto.getRandomValues()をサポートしており、ローカルでジェネレーターを実行できます。一部の自動ローカルテスト環境では、ページ動作とは無関係の接続リセットの問題が発生したため、本番検証はローカルハーネスではなくブラウザAPIとプライバシー境界に焦点を当てています。

モバイルブラウザのサポート

モバイルブラウザは、Web Cryptoを公開している限り、安全なランダムパスワードを生成できます。PwdGenのレイアウトは、タッチ操作に十分な大きさのボタンを維持し、生成されたパスワードをRTLロケールでも左から右に保ちます。

Web Cryptoの要件

PwdGenには暗号論的乱数ソースが必要です。ジェネレーターはcrypto.getRandomValues()からランダムバイトを要求し、それらを拒否サンプリングで文字の選択肢にマッピングします。これにより、セキュリティ上重要な用途には指定されていないMath.random()の使用を回避します。

Web Cryptoが利用できない場合

PwdGenはフェイルクローズします。ページは読み取り可能ですが、パスワードコントロールは無効になり、安全な生成にはモダンブラウザが必要であることを説明する警告が表示されます。生成されたパスワードを表示しないことは、弱い資格情報を黙って作成するよりも優れています。

ローカルのみの生成に関する声明

生成とチェックはブラウザ内で実行されます。PwdGenは、生成されたパスワード、チェッカーに入力された既存のパスワード、パスフレーズ、またはエクスポートされた値をアップロードしません。ローカル生成は、侵害されたデバイス、悪意のある拡張機能、安全でないクリップボード、フィッシングページ、または弱いパスワードストレージを持つ宛先サービスを保護できません。

実装の詳細については、セキュリティ方法論およびクライアントサイドパスワード生成ホワイトペーパーをお読みください。

よくある質問

PwdGenはどのブラウザをサポートしていますか？

PwdGenは、Web Crypto APIを公開する最新バージョンのChrome、Edge、Safari、Firefox、および現在のモバイルブラウザ向けに設計されています。

Web Cryptoが利用できない場合はどうなりますか？

パスワードコントロールが無効になり、互換性に関する警告が表示されます。PwdGenはパスワード生成にMath.random()にフォールバックしません。

ブラウザサポートによってプライバシーモデルは変わりますか？

いいえ。サポートされているブラウザでは、生成と評価はローカルで実行されます。主なプライバシーの制限は、デバイス、ブラウザ拡張機能、クリップボード、および宛先サービスです。