セキュリティ第一 あなたのビジネス向けパスワードマネージャー

Passworkは2つの独立した暗号化レイヤーを採用しています：

サーバーレイヤーは常に有効で、保存データはOpenSSL経由でAES-256-CFBにより暗号化されます。

クライアントレイヤーはCSE有効時に動作し、機密フィールドは端末上で暗号化されます。

CloudではCSEは常時有効です。オンプレミスでは設定可能ですが、インターネット公開環境で無効化することは重大な問題です。

各データは、各レベルが次のレベルを暗号化するチェーンによって保護されています：

1. ユーザーがマスターパスワードを入力 — これはデバイスから外部に送信されません
2. PBKDF2（SHA-256、300,000回反復）により、ブラウザ上で512ビットのマスターキーを導出
3. マスターキーがユーザーの秘密RSA鍵（2048ビット、OAEP/SHA-256）を復号。この鍵は暗号化された状態でサーバーに保存
4. 秘密RSA鍵がvaultキー（256ビット）を復号。vaultごとに一意で、ユーザーごとにRSAで暗号化して保存
5. vaultキーがレコードキー（256ビット）を復号。レコードごとに一意
6. レコードキーがパスワードフィールド、カスタムフィールド、TOTPシークレット、添付ファイルキーを復号
7. 各添付ファイルには独自の添付キー（256ビット）があり、レコードキーで暗号化

1つのレコードキーが侵害されても、そのレコードのみが影響を受けます。他のレコード、他のvault、またはユーザーのRSA鍵は影響を受けません。

すべてのアルゴリズムはNIST SP 800-131A Rev.2を満たすか上回ります：

• • AES-256 — 対称暗号
• • RSA-2048 OAEP / SHA-256
• • PBKDF2
• • TLS 1.3
• • CSPRNG
• • PBKDF2ソルト

各暗号化操作で新しいIVを使用します。

• • ISO 27001認証（2024）
• • GDPR準拠
• • HackerOneによるテスト
• • NIST SP 800-131A Rev. 2

セキュリティプロファイルも公開しています。

すべての機能はリリース前に6つの必須ステージを経ます：

1. 構想 — セキュリティ要件分析とSecurity Championレビュー
2. 分析 — STRIDE脅威モデリング
3. 実装 — SAST、SBOMチェック、自動テスト
4. ビルド — 分離CI環境、署名済み配布物、秘密鍵はオフライン保管
5. テスト — DAST、AI支援レビュー、専門家検証
6. リリース — 顧客ポータルでの署名検証

すべての配布物は暗号学的に署名されています。ビルドは外部アクセスのない分離CI環境で実行され、署名用秘密鍵はオフラインで保管されます。公開鍵は passwork.pro/public-key で入手可能です。デプロイスクリプトに署名検証が組み込まれており、インストール前に自動で整合性が確認されます。

すべてのユーザーおよびシステム操作は改ざん不可能な履歴に記録されます。ログには認証イベント、管理者操作、vaultアクセス変更、パスワードエクスポート、APIトークン作成、LDAP同期結果が含まれます。イベントはSyslog経由でCEF形式としてエクスポート可能で、主要SIEM製品に対応しています。

推奨保持期間：

• • 一般用途：90日以上
• • ISO 27001：1年
• • PCI-DSS：1年（うち3か月は即時参照可能）

セキュリティダッシュボードは弱いパスワードや180日以上未更新のパスワードなどを検出します。