Contents
TOTPとChrome拡張のメリットとリスク（Google Authenticator Chrome 拡張を含む）
拡張でのTOTPはPC作業時の利便性が最大のメリットです。逆にブラウザ権限や同期方式が主要なリスクになります。ここでは仕組みの要点と拡張に特有の懸念点をまとめます。
TOTPの仕組み（簡潔）
TOTPは共有シークレットと時刻を元に短時間で変わるコードを生成します。一般的にはRFC 6238準拠で、30秒間隔の6桁が多用されます。サービス側はotpauth URIで登録を受けます。
Chrome拡張の利点と懸念点
拡張の利点はブラウザで即時にコードを取得できる点や、PC作業との親和性です。
一方で懸念点として、拡張が要求する「権限」と「同期方式」により秘密鍵が露出したり中央化リスクが生じます。同期がクラウド経由の場合、その暗号化モデル（サーバ側で平文を持つか、クライアント側で暗号化されるか）は必ず確認してください。
権限と典型的なリスク箇所
拡張が関与すると危険になりやすい代表的箇所は次のとおりです。拡張ごとにmanifest（権限）を確認してください。
- 全サイトアクセス（
等）：ページ内のフォームやスクリプトとやり取りできるため危険性が高いです。 - ストレージ（ローカルストレージ/Chrome storage）：シークレットが暗号化されず保存されるとリスクになります。
- クリップボード関連：シークレットをコピーする運用は漏洩の温床です。
- カメラアクセス：QRスキャン時にのみ一時的に許可する運用が望ましいです。
- ネイティブメッセージング：ローカルアプリと通信する場合は攻撃面が増えます。
比較評価軸と代表候補（Chrome拡張・アプリ・パスワードマネージャ）
製品選定では「同期方式の暗号化モデル」「拡張の要求権限」「エクスポート機能」「オープンソース性」「保守状況」を優先して評価してください。評価方法と検証の再現性テンプレートを示します。
評価軸
評価時に重点的に見る項目は次の通りです。導入前に社内基準に沿って優先順位を決めてください。
- 同期方式と暗号化モデル（ゼロ知識かどうか）
- エクスポート/インポートの可否と方式（クライアント暗号化か）
- Chrome拡張が要求する実際のmanifest権限（host_permissions 等）
- オープンソース性と第三者監査の有無
- 最終更新・メンテ状況（リリースノート等で確認）
- ベンダー信頼性と脆弱性履歴（CVE/NVDで検索）
- UI/UX（アカウント管理やラベル付けのしやすさ）
- 組織での運用（SSOやHSM/キー管理との統合可否）
評価方法と再現性のためのテンプレート
検証を再現可能にするために、各製品で下記項目を記録してください。社内の検証ドキュメントにテンプレート化して残すことを推奨します。
- 製品名／拡張名／拡張ID（Chrome Web StoreのURL末尾）
- ストアURLと公式ドキュメントURL（参照リンク）
- インストールしたバージョン（社内で記録）
- manifestに記載のpermissionsおよびhost_permissions（コピーして保存）
- 同期方式の説明（クラウド、ブラウザ同期、オフライン）と暗号化モデルの説明（ベンダー説明を引用）
- テスト手順（テスト用シークレットを追加しログイン検証）と結果のスクリーンレスレポート（スクリーンショット不可なら手順ログ）
- エクスポート/インポートの手順と復元成功の可否
- CVE/NVDの検索結果と過去の脆弱性対応履歴
- 管理者向け配布ポリシー（ホワイトリストID等）
製品別の短い推奨と比較（参照リンク付）
代表的カテゴリごとの短い推奨を示します。導入判断は上の評価軸で確かめてください。
- Chrome拡張（例: Authenticator系）: ローカル保存かつオープンソースであれば検討候補です。
- Authy（クラウド同期型）: マルチデバイスを重視する個人向けに有用ですが同期モデルの暗号化を確認してください。
- Google / Microsoft Authenticator（モバイル）: デバイス分離が強みで、業務用途ではSSO連携と組み合わせやすいです。
- Bitwarden / 1Password（パスワードマネージャ統合）: Vault同期で一元管理可能。ゼロ知識モデルの実装状況を確認してください。
- Okta / Duo（企業向け）: 組織管理／監査が必要な場合の第一選択肢です。
| 製品／カテゴリ | TOTP対応 | クラウド同期 | エクスポート | オープンソース | 想定Chrome権限 | 参照リンク |
|---|---|---|---|---|---|---|
| Authenticator（Chrome拡張） | はい | 拡張に依存 | 拡張に依存 | 拡張に依存 | ストレージ／カメラ／サイトアクセスなど（要確認） | https://chromewebstore.google.com/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai?hl=ja |
| Authy（Twilio） | はい | あり（暗号化バックアップ） | あり（パスフレーズ保護） | いいえ | ブラウザ拡張別 | https://authy.com/ |
| Microsoft Authenticator | はい | クラウドバックアップあり | デバイス移行あり | いいえ | モバイル中心 | https://www.microsoft.com/security/mobile-authenticator-app |
| Google Authenticator（モバイル） | はい | 基本ローカル | 手動移行（QR等） | いいえ | モバイル中心 | https://support.google.com/accounts/answer/1066447 |
| Bitwarden | はい（Vault内生成） | あり（ゼロ知識設計） | エクスポート可（注意） | 一部OSS | 拡張はサイトアクセス等 | https://bitwarden.com/ |
| 1Password / LastPass | はい | あり（Vault同期） | エクスポート可（注意） | いいえ（商用） | 拡張は広範権限あり得る | https://1password.com/ |
| Okta / Duo（企業向け） | はい | 管理下で同期 | 管理者によるプロビジョニング | いいえ | 管理ポリシーに依存 | https://www.okta.com/ / https://duo.com/ |
補足: 表の権限や同期挙動は拡張やバージョンで変わります。導入前に必ず公式ドキュメントと拡張のmanifestを取得して評価してください。
導入・バックアップ・復旧の実務手順（Google Authenticator Chrome 拡張対応）
導入ではシークレットのバックアップと復旧フローを必ず設計してください。ここでは個人・組織双方で使える具体的手順と安全対策を示します。
導入前の必須準備
導入前に最低限整備すべき項目は次の通りです。運用ルールを事前に文書化してください。
- 対象サービスのリカバリコードを取得し安全に保管する。
- シークレットの保管方針を決める（暗号化パスワードマネージャ、暗号化USB、紙保管など）。
- 組織では承認済み拡張リストと配布ポリシーを用意する。
- DPIA（必要時）やDPAの確認、監査ログ要件の定義を行う。
導入手順（拡張/アプリ共通）
以下は一般的な導入手順です。実行する前に社内ルールで承認してください。
- ストアページで公開者情報、プライバシーポリシー、ソースコード（あれば）を確認する。疑義がある拡張は導入しないでください。
- インストール時に要求される権限を確認する。可能なら「サイトアクセス：クリック時（On click）」や特定サイトのみに限定する。
- アカウント追加はQRスキャンか手動入力で行う。QRスキャンはカメラ権限を一時許可し、完了後に権限を取り消す運用にする。
- シークレットをコピーした場合は直ちにクリップボードを消去する。クリップボード消去の例：macOSでは
pbcopy < /dev/null、Windows PowerShellではSet-Clipboard -Value ''を利用する方法がある。 - 追加後はサービスにログインしてコードが有効かを確認する。動作確認が取れたら暗号化エクスポート（対応する場合）は強力なパスフレーズで行う。
- エクスポートファイルは複数の安全な保管先に分散し、平文でメール等に送らない。
- 導入手順と復旧手順を文書化し、パイロットユーザーで復旧検証を行う。
バックアップ・復旧のベストプラクティス
バックアップと復旧の運用で有効なポイントは次の通りです。
- エクスポートはクライアント側暗号化（ゼロ知識）であるかを確認する。可能ならパスフレーズは長いフレーズにする（例: 複数の単語を組み合わせる）。
- オフラインの暗号化USBや耐火金庫での紙保管を併用する。
- 定期的に復旧テストを行い、実際に復元できることを確認する。
- 組織はシークレットの所有者／管理者を明確にし、キーの無効化・ローテーション手順を定める。
脅威モデルとFIDO2/エンドポイント保護の比較（TOTPとChrome拡張）
拡張を使う場合の脅威モデルを明確にし、FIDO2等の代替と比較して最適な組み合わせを決めてください。ここでは攻撃シナリオと緩和策を整理します。
拡張悪用時の攻撃シナリオ
拡張が悪用されると次のような攻撃が可能になります。対策を合わせて検討してください。
- 拡張がブラウザストレージや全サイトアクセスを悪用してシークレットを窃取する。
- 拡張のアップデートが乗っ取られ、マルウェア化する（サプライチェーン攻撃）。
- クリップボードに残ったシークレットやスクリーンショット経由で漏れる。
- クラウド同期のバックアップが侵害されると中央で大量侵害が発生する。
OSレベル・EDRとの関係と緩和
エンドポイント保護（EDR）やMDMは有効な補助手段です。主な対策は次の通りです。
- 拡張の許可リスト（ホワイトリスト）を企業ポリシーで配布する。
- EDRで不審なプロセスやファイルアクセスを検出するが、ブラウザ内部の挙動は見えにくいため拡張制御と併用する。
- HSMやSSOプロバイダと連携し、シークレットを中央集権的に保管する運用を検討する。
FIDO2/ハードウェアキーとの運用比較
FIDO2（ハードウェアキー）はフィッシング耐性が高く、TOTPより安全性が高いことが多いです。運用比較の要点は次の通りです。
- セキュリティ: FIDO2はフィッシング耐性あり。TOTPは中間者やフィッシングに脆弱。
- コスト/導入: ハードウェアキーの配布・運用コストと紛失対応が必要。
- 復旧: ハードキー紛失時の復旧（代替キー等）を設計する必要がある。
- 推奨: 高リスクや管理対象ユーザーからはFIDO2を優先し、TOTPは補助や一時的な手段とするのが安全です。
組織導入のガバナンスとコンプライアンス要点（TOTP/拡張運用）
組織導入では技術選定だけでなく法的・運用的整備が不可欠です。ここではポリシー、監査、導入フローを示します。
ポリシーと責任分担
組織で定めるべきルール例は次の通りです。
- 拡張・アプリの採用はIT/セキュリティ担当が事前評価して承認する。
- シークレット所有者と復旧責任者を明確にする。
- 承認済み拡張リストを作成し、グループポリシーで配布・制限する。
監査・ログ・データ保護
コンプライアンス観点で押さえるべき項目は次の通りです。
- シークレットの生成・配布・無効化に関する操作ログを残すこと（監査目的）。
- クラウド同期を使う場合はDPAやデータ移転規約（越境処理）を確認する。GDPR等に関するDPIAの実施を検討する。
- 鍵の保管場所、保持期間、廃棄方法をポリシー化する。
導入判断フロー（簡略）
組織導入の推奨フローは次の通りです。段階的にリスクを低減します。
- 小規模で短期検証を実施する（機能・権限・同期方式の確認）。
- セキュリティ評価とDPIAを実施する。
- パイロット運用で復旧手順を検証する。
- ポリシー整備の上で段階展開し、監査・更新を定期的に行う。
まとめ（各所での注意はここに集約）
TOTP拡張は利便性とリスクがトレードオフになります。実務ではまず同期暗号化モデルと拡張の実際のmanifest権限を確認し、採用前に社内での検証テンプレートに従って試験を行ってください。導入後は暗号化バックアップ、クリップボードの扱い（即時消去や一時許可）、カメラ権限の一時許可と即時取り消し、拡張のホワイトリスト配布、定期的な復旧検証を必須運用としてください。高リスク領域はFIDO2等ハードウェアキーの導入を優先で検討するのが望ましいです。
参考リンク（出典確認先・公式ドキュメント）
-
Authenticator（Chrome 拡張） — Chrome ウェブストア
https://chromewebstore.google.com/detail/authenticator/bhghoamapcdpbohphigoooaddinpkbai?hl=ja -
Authy — 公式サイト
https://authy.com/ -
Microsoft Authenticator — 公式案内
https://www.microsoft.com/security/mobile-authenticator-app -
Google アカウント（2 段階認証管理）
https://support.google.com/accounts/answer/1066447 -
Bitwarden — 公式サイト
https://bitwarden.com/ -
1Password — 公式サイト
https://1password.com/
補足（運用上の一括注意点）
上記で示した「権限」「同期モデル」「エクスポート方式」「監査ログ」「DPA/DPIA」は導入判断の核心です。各製品の挙動はバージョンやリリースによって変わるため、最終判断は公式ドキュメントと拡張のmanifestを取得して社内検証テンプレートに沿って記録してください。