VKT Toolkit · 2026年10月18日 · 約6分で読めますブラウザに保存した 2FA シークレットをパスワードで守る方法（2026）
TOTP のシークレットはパスワードではありません。あるアカウントの 6 桁コードを生み出す種そのものです。一度コピーされれば、持ち主が気づかないまま、どの端末でも有効なコードを作り続けられます。パスワードは漏れても数分で変えられますが、シークレットは静かに複製されるだけで、対処はアカウントごとに 2FA を切り替えて再登録するしかありません。
そのシークレットは、ブラウザ拡張のポップアップの中にあります。アイコンを 1 回クリックすれば開き、パスワードも PIN も追加の確認もありません。席を外した隙に誰かが開いても、プロファイルをコピーしても、中身は読めます。LocalBox2FA のマスターパスワードは、この隙間を埋める任意機能です。何をするのか、何をあえてしないのか、締め出されずに使う方法をまとめます。
2つ目の鍵は、開いたままの引き出しにある
2FA は「2つ目の要素を攻撃者の届かない場所に置く」という前提で成り立ちます。スマホなら画面ロックの内側です。ブラウザ拡張では、シークレットは chrome.storage.local の 1 つの値にすぎず、守っているのは OS のアカウントだけです。共有のワークステーションでは、その線はかなり細くなります。
LocalBox2FA は意図的に小さく作られています。Manifest V3、権限は storage のみ（ライセンスサーバー向けの host 権限が1つあり、ライセンスの認証・検証・解除時にのみアクセスし、データは一切送信しません）、TOTP は Web Crypto でブラウザ内で計算、当方のアカウントも解析もありません。クロスデバイス同期は任意で既定はオフです。有効にすると、封緘された記録があなた自身のブラウザアカウントの chrome.storage.sync に反映され、マスターパスワードは端末に留まります。これによりシークレットは既定で端末の外に出ません。ただし、同じ端末を使う他人からは守れません。
マスターパスワードが暗号化するもの
任意設定で、初期状態はオフです。有効にすると、範囲は次のとおりです。
- 暗号化されるのは
secretフィールドだけ。方式は AES-GCM、鍵は 256 ビットです。 - 鍵はパスワードから PBKDF2-SHA256 で派生。60 万回の反復とランダムな salt を使い、パスワード自体は保存しません。
- 派生した CryptoKey はポップアップのメモリにだけ存在し、ストレージには書き込まれません。
name、digits、period、algorithm、追加日はストレージ上では平文のままです。この切り分けは意図的ですが、ロック中は UI がリストごと隠します。次の節でその理由を説明します。暗号化はコードを計算するのと同じ場所で行われ、データが端末の外に出ることはありません。
毎回入力するのは仕様
「記憶する」も、24 時間のロック解除も、生体認証の近道もありません。ポップアップを開くたびにパスワードを入力します。
省略した場合のコストは？ 拡張は派生鍵、またはそれを開く鍵を、どこかに永続化する必要があります。その値を手に入れた人は、パスワードを知らずに保管庫を開けられます。まさにこの機能が防ぎたい状況です。コストは 1 回の入力、利益は「閉じれば本当に終わる」こと。画面ロック中に盗まれたノート PC から出るのは暗号文です。
ロック中に起きること
ロック中、ポップアップに出るのは解除画面だけです。アカウント一覧は描画されないため、解除するまでどのサービスを保管しているか分かりません。
これは意図したトレードオフです。暗号化しているのは secret だけですが、一覧を描画してしまえば「どのアカウントを持っているか」が漏れます。だから画面ごと隠し、先にパスワードを求めます。解除すれば、コード・検索・名前の変更・暗号化記録の 🔐 表示がすべて戻ります。
名前はストレージ上は平文なので、ブラウザプロファイルをコピーされれば読まれます。名前に機密情報を入れないでください。「仕事用メール」は問題ありませんが、口座番号や PIN を書く場所ではありません。
有効化と無効化の手順
ポップアップを開き、設定でマスターパスワードを決めます。条件は「空でないこと」だけ。長さも大文字も記号も求められません。これは作者の意図的な判断です。複雑さのルールは短くて予測しやすいパターンを促しがちで、毎日打ち直せる長いパスフレーズのほうが実用的だからです。
設定からいつでもオフにできます。オフにすると鍵素材は削除され、記録は平文に戻ります。
既存の記録：移行も初期化もなし
移行はなく、消去もなく、シークレットの貼り直しも不要です。storage key は変わらないため、平文の記録と暗号化された記録は同じ一覧に共存します。保護を有効にした後に追加した項目は暗号化して保存され、以前の項目は 🔐 なしのままこれまでどおり動きます。
パスワードを忘れたら：戻る道はない
AES-GCM にバックドアはなく、リセットリンクも回復鍵もサポートによる上書きもありません。パスワードを忘れればシークレットは失われ、サポートにも復号できません。
唯一の出口は「すべて消去」です。2 回確認したうえで全記録が消え、最初からやり直しになります。ローカル専用ツールとしては正しい挙動で、だからこそ習慣が 1 つ要ります。暗号化を有効にする前にエクスポートすることです。無料で name:secret 形式のテキストを書き出すので、オフラインに置き、シークレット本体と同じ扱いをしてください。
パスワードを紙に書いて保管するのも悪くありません。ローカル専用の道具にアカウント回復がないのは定義上そうです。
この層が防げること・防げないこと
防げるのは、ロックしていない端末で同僚がアイコンをクリックすること、コピーされたプロファイルから生の値を読むこと、ブラウザデータが無防備だった紛失ノート PC です。防げないのは、あなたの権限で動くマルウェア、キーロガー、解除中にポップアップのメモリを読むプロセス、パスワードを知っている人。ディスク暗号化や画面ロックの代わりにはなりません。
引き出しに付ける 2 つ目の錠前であって、金庫の扉ではありません。
有料なのは同期だけ：マスターパスワード、TOTP コード、QR 表示、検索、エクスポート、インポート、全消去はすべて無料です。有料なのは任意のクロスデバイス同期だけで、マスターパスワードとライセンスが必要です。 Chrome ウェブストア · Edge アドオン。
よくある質問
マスターパスワードの暗号化は無料ですか？
はい。マスターパスワードの暗号化、TOTP コード、QR コード表示、エクスポート、インポート、全消去はすべて無料です。有料なのは任意のクロスデバイス同期だけで、マスターパスワードとライセンスが必要です。
忘れたマスターパスワードは復元できますか？
できません。シークレットは AES-GCM で暗号化されており、バックドアも復元経路もありません。開発者にも復号できません。忘れた場合の選択肢は「すべて消去」だけで、2 回の確認後に全記録が削除されます。暗号化を有効にする前にエクスポートしてください。
暗号化を有効にすると古い記録は消えますか？
いいえ。storage key は変わらず、平文の記録と暗号化された記録は共存します。既存の項目はそのまま読め、保護中に追加した項目は暗号化して保存されます。移行も初期化も、シークレットの再入力も不要です。
なぜポップアップを開くたびにパスワードが必要ですか？
派生した鍵はポップアップのメモリにだけ存在し、ストレージには書き込まれないからです。閉じれば鍵は破棄され、後から解除できるものは残りません。「記憶する」を用意するには鍵素材を永続化する必要があり、それはこの機能が取り除こうとしているリスクそのものです。
ロック中でもアカウント一覧は見られますか？
見られません。ポップアップは解除画面に置き換わり、一覧は描画されないため、ラベルすら読めません。name・digits・日付は chrome.storage.local 上で暗号化されていませんが、ロック中は何も表示されません。
データはアップロードされますか？
既定ではアップロードされません。すべて端末の chrome.storage.local に留まります。任意のクロスデバイス同期を有効にすると、封緘された記録とその名前・TOTP 設定が、あなた自身のブラウザアカウントの chrome.storage.sync に反映されます。マスターパスワードと派生鍵が端末外に出ることはありません。Manifest V3 で権限は storage のみ（ライセンスサーバー向けの host 権限が1つあり、ライセンスの認証・検証・解除時にのみ使用、データは送信しません）。TOTP は Web Crypto でローカルに計算し、当方のアカウントも解析もありません。
VKT 拡張機能カタログで他のツールもご覧いただけます。お問い合わせは [email protected] まで。