クリップボードマネージャーにパスワードは見えている? Macでの実態と対策

結論から言うと、技術的には「見えます」。macOSのクリップボードは同じユーザー権限で動くどのアプリからも読み取れますし、クリップボードマネージャーはまさにそれを行うアプリです。ただし、まともなクリップボードマネージャーはパスワードマネージャーが「秘匿(concealed)」の印を付けた項目を記録しませんし、Maccyのようなローカルファーストのオープンソースアプリなら、取得した内容がMacの外に送られることもありません。

「クリップボードはプライベート」という思い込み

実はそうではありません。macOSのペーストボードは、システム全体で共有される一時的な置き場です。Cmd+Cを押すとデータは汎用ペーストボードに入り、他のアプリからも読み取れます。「貼り付け先のアプリだけに見せる」といった項目単位のアクセス制御は存在しません。

この仕組みがあるからこそ、クリップボードマネージャーが成立します。同時に、問うべきは「クリップボードマネージャーがパスワードを見られるかどうか」ではなく、見たあとに何をするかだということでもあります。それを決めるのは次の3点です。コピーが機密情報としてフラグ付けされているか、アプリがそのフラグを尊重するか、そしてアプリが履歴をどこに保存するか。

クリップボードマネージャーはどうやってコピー内容を「見て」いるのか

クリップボードマネージャーは通常、ペーストボードの変更を監視しています。変更カウンターが増えると、新しい内容を読み取り、アプリのルールに応じて履歴にコピーを保存します。あとで貼り付けられるようにするためです。

この処理の中では、パスワードも買い物メモもただの文字列で、区別はありません。両者を分けるのは、コピー元のアプリが付けるメタデータです。

Concealed(秘匿)型とTransient(一時)型のペーストボードタイプ

コミュニティの非公式な取り決め(nspasteboard.orgに記載)により、アプリはクリップボードの内容に追加のペーストボードタイプを付与できます。

1PasswordやBitwardenなどの主要なパスワードマネージャーは、認証情報をコピーする際にconcealedフラグを設定することが一般に知られています 。この取り決めに対応したクリップボードマネージャーは、フラグを見つけるとその項目をスキップします。ただしこれはあくまで任意の慣習なので、送る側と受ける側の双方が対応していて初めて機能します。

Maccyはパスワードを記録する?

Maccy Appはデフォルトで、concealed、transient、auto-generatedのいずれかとしてマークされた項目を無視します。したがって、対応しているパスワードマネージャーからコピーしたパスワードは、履歴に表示されないはずです。

「たぶん大丈夫」ではなく「確実に大丈夫」にしたいなら、次の点も押さえておきましょう。

• ローカルファーストです。 Maccyは履歴をMacの中にだけ保存します。クラウド同期もアカウントもなく、クリップボードの内容を受け取るサーバーもありません。アップデート確認はクリップボードのデータとは別の話です 。
• オープンソースです。 コードはGitHubで公開されているので、上記の主張を鵜呑みにせず、自分で検証できます。
• 設定で調整できます。 何をスキップするかは、次のセクションで紹介する方法で指定できます。

落とし穴:フラグが付かないパスワード

この保護が効くのは、コピー元アプリがマークを付けたものだけです。プレーンテキストのメモ、スプレッドシート、ターミナル、メール、チャットのメッセージなどからパスワードをコピーした場合、それが機密情報であることをクリップボードマネージャーに伝える手段はありません。ほかの文字列と同じように扱われ、保存されてしまいます。

フラグ方式の限界はここにあります。アプリの設定と同じくらい、普段の使い方が大切です。

パスワード対策としてMaccyを固める方法

Maccy Macの設定を開き、Ignore(無視)タブを確認します。ラベルの表記はバージョンによって変わることがあるため、お使いのビルドで確かめてください 。

1. 特定のアプリを無視する。 パスワードマネージャーのほか、秘密情報を扱うもの(SSH鍵やAPIキーを管理するツールなど)を追加します。これらのアプリが最前面にあるときのコピーは、concealedフラグが付いていなくてもスキップされます。
2. 無視するペーストボードタイプを確認する。 concealedとtransientの各タイプがリストに残っているかを確かめます。理由がない限り削除しないでください。
3. 正規表現フィルターを使う。 Maccyは、正規表現にマッチするコピーテキストを無視する設定に対応しています。形式が決まっているシークレットには特に有効です。たとえば ^sk-[A-Za-z0-9]{20,}$ なら、多くのAPIキーに見られる形式の文字列をスキップできます。自分が使う形式に対してパターンを必ずテストしてから運用してください。ゆるい正規表現は、残したいものまで隠してしまうことがあります。
4. 機密性の高い作業のあとは履歴を消去する。 Maccyのメニューには「Clear(消去)」があります。フラグを付けない経路から認証情報を扱った作業のあとに使いましょう 。
5. 特定の作業中は履歴の記録を止める。 シークレットをまとめて貼り付ける前なら、記録を一時停止するか、該当アプリを無視対象にしておくほうが、あとから掃除するよりすっきりします。

リスクが高いクリップボードマネージャーとは?

リスクを左右するのは、カテゴリーそのものではなくアーキテクチャです。確認すべき質問を比べてみましょう。

履歴がクラウド同期されるなら、パスワードが取り込まれた時点で、それは他人のサーバー上に存在することになります。通信が暗号化されていても、ローカル専用のツールには存在しない攻撃対象領域が増えることに変わりはありません。特定の競合製品がデータを不適切に扱っていると言いたいのではありません。クリップボードマネージャーを選ぶとき、まず確認すべきなのは「履歴がデバイスの外に出るかどうか」だ、という話です。

マルウェアや他のアプリはどうなのか

こちらのほうが脅威モデルとしては大きく、しかもクリップボードマネージャーとは無関係です。ペーストボードは、ユーザー権限で動くどのプロセスからも読み取れるため、悪意のあるソフトウェアも同じように定期的に読み取れます。クリップボードを乗っ取るマルウェアは実在し、特に暗号資産のアドレスを狙うものが知られています。

Appleはこの点を強化しつつあります。最近のmacOSでは、ユーザーの操作なしにアプリがプログラムからペーストボードを読み取ると、警告や制御が表示される仕組みが導入されています。ただし挙動はバージョンによって異なります 。こうした通知にクリップボードマネージャーの名前が出ることもあります。ペーストボードを常時監視するアプリなので、それは想定どおりの動作であり、異常ではありません。

さらに2点補足します。

• ユニバーサルクリップボード。 Handoffが有効なら、コピーした内容はiCloudの暗号化された通信経路を通じて、Apple製デバイス間を移動することがあります。これはAppleの機能であり、クリップボードマネージャーとは無関係です。
• パスワードマネージャーの自動クリア。 多くのパスワードマネージャーは、一定時間後にクリップボードを消去します。あとからクリップボードを覗かれる対策にはなりますが、それ以前に内容を取り込んでいたクリップボードマネージャーには影響しません。だからこそ、concealedフラグが重要なのです。

パスワードを扱うときの現実的なルーティン

安全のためにクリップボード履歴をあきらめる必要はありません。いくつかの習慣で、リスクの大半はカバーできます。

1. できる限り、コピー&ペーストよりパスワードマネージャーの自動入力を使う。自動入力はクリップボードをまったく経由しないことが多いです。
2. パスワードマネージャーを、クリップボードマネージャーの除外リストに追加する。
3. プレーンテキストのファイル、チャット、メモからシークレットをコピーするのは避ける。どうしても必要なときは、あとで履歴を消去する。
4. データをローカルに保存し、コードを読めるクリップボードマネージャーを選ぶ。
5. macOSを最新に保つ。ペーストボードのプライバシー保護は、現在も進化の途上にあります。

よくある質問(FAQ)

クリップボードマネージャーにパスワードを盗まれることはありますか?

信頼できるアプリなら盗むことはありませんが、クリップボードを読み取るアプリは、技術的にはコピー内容を見ることができます。コードを検証できるローカルファーストのオープンソースツールがもっとも安全な選択です。データの行き先がそもそも存在しないからです。

Maccyは1PasswordやBitwardenのパスワードを保存しますか?

デフォルトでは、concealedとマークされた項目はスキップされます。これらのパスワードマネージャーは一般にそのフラグを設定します 。より確実にしたい場合は、Maccy Clipboardの無視するアプリのリストに追加してください。

クリップボード履歴は暗号化されていますか?

アプリとシステムの設定によります。FileVaultを有効にしたMacでは、保存データはディスク全体と一緒に保護されます。個々のクリップボードマネージャーが独自の暗号化を行っているかどうかは、アプリごとに確認が必要です 。

Macでコピーした内容を、他のアプリが読み取ることはできますか?

できます。ペーストボードはシステム全体で共有されています。最近のmacOSではプログラムからの読み取りに対する通知や制御が加わり始めていますが、挙動はバージョンによって異なります。

パスワードを含むクリップボード履歴はどうやって削除しますか?

クリップボードマネージャーの消去機能を使い、対応していれば個別のエントリも削除します。Maccyならメニューの「Clear」です。そのあと、無害な文字列をコピーして、現在のクリップボードからシークレットを追い出しておきましょう。

まとめ

クリップボードマネージャーにパスワードが見えるのは、ほかのあらゆるアプリと同じ理由、つまりmacOSのクリップボードが共有領域だからです。身を守るのは多層的な備えです。パスワードマネージャーが付けるconcealedフラグ、除外リスト、ローカル限定の保存、そして危ない作業のあとに履歴を消す習慣。検証できて、外部に一切通信しないツールなら、最大の不確定要素を取り除けます。

自分の環境を手軽にチェックするなら、パスワードマネージャーからパスワードをコピーして、クリップボード履歴を開いてみてください。そこに表示されなければ、フラグは正しく機能しています。ところで、あなたが機密テキストをコピーする経路のうち、そのフラグが付かないものはどれでしょうか?