セキュリティに関するFAQ
こちらには、セキュリティに関してよくある質問（FAQ）を掲載しています。
A: Bitwardenを信頼できる理由は以下の通りです。
Bitwardenはオープンソースのソフトウェアです。すべてのソースコードはGitHubによりホストされており、誰でも自由にレビューすることができます。何千人ものソフトウェア開発者がBitwardenのソースコードプロジェクトをフォローしています。お客様も、ぜひフォローしてみてください。
Bitwardenは、信頼できる第三者のセキュリティ企業および独立したセキュリティ研究者による監査を受けています。
Bitwardenは、お客様のパスワードを直接保存しません。Bitwardenは、お客様だけが解除できる暗号化されたパスワードを保存します。お客様の個人情報は、クラウドサーバーに送られる前に、お客様ご自身のデバイス上で暗号化されます。
Bitwardenの評判は高く、何百万人もの個人と企業により利用されています。もし、疑わしいことやリスクの高いことをしていたとしたら、ここまでの信頼を得ていないでしょう。
Bitwardenは長年の信頼と評判を誇るサービスです。オープンソース形式のため、Bitwardenの技術スタック全体をご自身の環境で簡単にホストすることができます。データをコントロールするのはお客様ご自身です。詳しくはこちらをご覧ください。
A: Bitwardenは、ウェブサイト、アプリケーション、およびクラウドサーバーの安全性を確保するために細心の注意を払っています。また、サーバーのインフラやセキュリティの管理は、直接行うのではなく、Microsoft Azureのマネージドサービスを利用しています。
何らかの理由でBitwardenがハッキングされ、お客様のデータが流出した場合でも、保管庫データとマスターパスワードは強力に暗号化され、ソルトを付与して一方向でハッシュ化されているので安全に保護されます。
A: ありません。
データはお手持ちのローカルデバイスから送信される前に完全に暗号化され、ハッシュ化されるため、Bitwardenのスタッフがお客様のデータを見たり、読んだり、リバースエンジニアリングなどの手法で実際のデータにアクセスしたりすることはできません。Bitwardenのサーバーには、暗号化およびハッシュ化されたデータのみが保存されます。データがどのように暗号化されるかについては、暗号化を参照してください。
A: いいえ。
マスターパスワードはローカルやメモリーには保存されません。マスターパスワードから派生する暗号化キーは、アプリのロックが解除されている間のみメモリ内に保持され、保管庫内のデータを復号化するために必要となります。保管庫がロックされると、このデータはメモリから消去されます。
また、ロック画面で 10 秒間操作がないと、アプリケーションのレンダラー プロセスを再ロードして、ガベージ コレクションがまだ行われていない管理対象メモリ アドレスが確実にパージされるようにしています。私たちは、アプリケーションが機能するためにメモリ内にあるデータが、必要な期間だけメモリ内に保持され、アプリケーションがロックされるたびにメモリがクリーンアップされるように最善を尽くしています。アプリケーションがロックされている間、アプリケーション内の暗号化されたデータは完全に安全な状態であると考えます。
A: 新しいデバイスのIPアドレスが、既知のIPアドレス（自宅・職場・モバイルネットワークなど）と一致しない場合、マスターパスワードを変更し、アカウントで2段階ログインが有効になっていることを確認します。また、すべてのデバイス上で強制的にログアウトするためにお客様のWeb保管庫の設定ページからセッションを無効化する必要があります。お客様の保管庫内のアイテムが侵害される可能性があると思われる場合は、パスワードを変更する必要があります。
A: Bitwardenは、以下のポリシーに準拠しています。
GDPR：詳しくはこちらをご覧ください。
CCPA：詳しくはこちらをご覧ください。
HIPAA：詳しくはこちらをご覧ください。
SOC 2 タイプ2：詳しくはこちらをご覧ください。
SOC3 ：詳しくはこちらをご覧ください。
詳細は、セキュリティコンプライアンスのページをご覧ください。
A: モバイルアプリではFirebase Cloud Messaging（よくトラッカーと間違えられます）が使用されていますが、これは同期に関するプッシュ通知を出すのみで、トラッキング機能はありません。また、Microsoft Visual Studio App Centerは、さまざまなモバイルデバイスのクラッシュレポートに使用されています。Web保管庫では、StripeとPayPalのスクリプトが支払いページでの支払い処理にのみ使用されます。
すべてのサードパーティーとの通信を除外したい場合は以下をご確認ください。
FirebaseとMicrosoft Visual Studio App Centerは、F-Droidビルドから完全に削除されています。
さらに、Bitwardenのセルフホスティングサーバーでプッシュ通知をオフにすると、プッシュリレーサーバーを使用できなくなります。
Bitwardenは、ユーザーのセキュリティとプライバシーに真剣に取り組んでおり、ユーザーの暗号化キーを閲覧することなく、安全なエンドツーエンドの暗号化を維持しています。また、オープンソースを重視する企業として、GitHub上でいつでも誰でも私たちのライブラリの実装をレビューできるようにしています。
A: 企業組織向けサブスクリプションに含まれるポリシーを参照してください。また、Duo MFAインテグレーションを有効にして、お客様の企業組織に対して2FA/MFAを適用することもできます。詳しくは、Duo経由の2段階ログインをご覧ください。
A: 完全なリストと手順については、証明書オプションを参照してください。
A: Bitwardenは、システムのセキュリティに対する信頼を最も重要視しています。すべてのコード変更案は、コードベースにマージされる前に、1人以上の非著作者メンバーによってレビューされます。すべてのコードは、本番稼動前に複数のテスト環境とQA環境を通過します。また、BitwardenではSOC2レポートを導入し、内部手続きの監査と検証を行っています。レポートにもあるように、私たちのチームは厳格なバックグラウンドチェックと徹底的な面接プロセスを実施しています。また、Bitwardenはオープンソースの製品であるため、コードのピアレビューをいつでも歓迎しています。Bitwardenのチームは、ユーザーが快適に、そしてデータを安全に利用できるよう、できる限りの努力をしています。
A: セッション情報のキャッシュ期間は、情報の種類やクライアントアプリケーションによって異なります。
オフラインになった保管庫のセッションは30日後に失効します。
ただし、モバイルクライアントアプリケーションは90日後に失効します。
2段階ログインの自動ログイン（Remember Me）機能は、30日後に失効します。
ディレクトリ コネクタの同期キャッシュは、30日後にクリアされます。
企業への招待は5日後に期限切れとなります。セルフホスティングをご利用のお客様は、環境変数を使用してこの設定を行うことができます。
まず対象となるリリースの最新のyamlファイル（例 : latest-linux.yml）およびそれに対応するリリースパッケージ（例 : Bitwarden-1.33.0-amd64.deb）を取得します。ダウンロードしたリリースパッケージのSHA512ハッシュを生成し（例 : sha512sum Bitwarden-1.33.0-amd64.deb）、生成された16進数の値をBase64に変換します。Base64の計算値と、yamlファイルのSHA512の値を比較することで、検証が可能です。
A: Bitwardenは、お客様にBitwardenのサービスを提供するために管理データを使用しています。一部のアプリのプライバシーレポートで示されているように、ユーザーはアカウント作成時に以下の情報を提供します。
お名前（任意）
メールアドレス（メール認証、アカウント管理、ユーザーとBitwardenの連絡のために使用されます）
さらに、Bitwardenが生成したデバイス固有のGUID（デバイスIDと呼ばれることもあります）が、デバイスに割り当てられます。このGUIDは、新しいデバイスがお客様の保管庫にログインしたときに警告を発するために使用されます。
A: 他の記事でよくElectronアプリの欠陥が指摘されていますが、このような攻撃が可能になるには、ユーザーが使用するマシンが既に（ウイルスなどに）感染したりハッキング被害を受けている状態でなければいけません。このような状態では、おのずと悪意のある攻撃者にマシン上のデータを侵害される可能性があります。お客様が使用しているデバイスが侵害されていると信じる理由がない限り、データは安全です。
A: 拡張機能は、正しく開発されていれば安全に使用することができます。ブラウザの拡張機能はその性質上、常にバグが発生する可能性があります。私たちは、拡張機能やアドオンを開発する際に細心の注意を払い、業界で起こっているあらゆる事象に目を配り、耳を傾け、セキュリティ監査を実施して安全性をチェックしています。
A: Bitwardenの拡張機能は、インストール時に、クリップボードクリア機能（オプションメニューからアクセス可能）を使用するためにクリップボードへのアクセス許可を求めます。
このオプション機能を有効にすると、クリップボードクリアは、設定可能な間隔で、Bitwardenで作成された、または入力されたすべてのエントリーをクリアします。クリップボードへのアクセスにより、Bitwardenは、最後にコピーされた項目を再度保管庫から確認することで、Bitwardenアプリケーションから関連性のないクリップボード項目を削除せずにこれを実行することができます。なお、この機能はデフォルトではオフになっています。
A: ブラウザ拡張機能のバージョン1.48.0では、ブラウザ拡張機能のバイオメトリックアンロック（生体認証を用いたロック解除）が有効になっています。
これはnativeMessagingとも呼ばれ、ブラウザ拡張機能がBitwardenのデスクトップアプリと通信できるようにするもので、生体認証によるロック解除を有効にするために必要な、安全なパーミッションです。
ブラウザをこのバージョンにアップデートすると、"communicate with cooperating native applications" （対応するネイティブアプリケーションとの通信を行ってください：Chromiumベースのブラウザの場合) または "exchange messages with programs other than Firefox" （Firefox以外のプログラムでやりとりをしてください）という新しい許可を受け入れるよう求められることがありますので、ご注意ください。この許可を受けないと、拡張機能は無効のままとなります。
A: BitwardenはFIPSに準拠したライブラリや暗号を使用していますが、BitwardenのプラットフォームはFIPS認証を取得していません。FIPSの対象となるBitwardenのインストールの大半は、評価（Cybersecurity Maturity Model Certificationなど）をスムーズに行えるようセルフホスティングオプションを活用しています。
A: セルフホスティングでは、カスタムファイアウォールやNGINXの設定、およびVPN/VLANアクセスコントロールを使用して、Bitwardenインスタンスのデバイスタイプやネットワーク層へのアクセスを決定することができます。また、デバイスレベルの証明書などの他のツールを使用して、Bitwardenインスタンスへの特定のデバイスのアクセスを制御することもできます。
A: あります。Bitwardenのデスクトップアプリケーションは、Windows用のポータブル.exeとして提供されており、こちらからダウンロードすることができます。ポータブルアプリケーションは、常にオフラインの環境である場合や、アプリケーションの自動更新を望まない場合に適しています。ポータブルアプリが自動でアップデートされることはありません。