BitwardenのEdge拡張機能は、保存したログイン項目のURI（Webサイトのアドレス）が現在のページと一致すると候補を表示します。候補が出ても、サイトが正規のものだと証明されたわけではありません。アドレスバーのドメインとアカウント名を確認し、信頼できるページで自分で項目を選び、送信前に入力値を確認してください。

URIの一致と手動入力を先に確認する

Bitwardenのログイン項目を開き、Website URIが実際のサインインページと一致するか確認します。組織や項目別の設定で変更されていない限り、標準の一致方法はBase domainです。この方法ではトップレベルと2次ドメインを比較し、Bitwardenの例では保存したgoogle.comがaccounts.google.comにも一致します。便利な一方、見慣れないサブドメインや似た綴りのアドレスに候補が表示されたら、一致しただけで安全と判断せず、アドレスを自分で照合します。想定したURIと異なるサイトでは、無理に認証情報を入力せず中止してください。

初回確認では、ページ読込時の自動入力より、拡張機能を開いて一致項目を自分で選ぶ方法が挙動を把握しやすいでしょう。WIREDのレビュアーScott Gilbertsonは、Bitwarden拡張機能のキーボードショートカットでログイン情報を入力する方法を紹介しています。ショートカットや画面は変わることがあるため、現在の拡張機能の説明を確認してください。どの方法でも自動送信されると思い込まず、送信前にアカウントとアドレスを確認します。

Bitwardenのページ読込時自動入力は初期状態でオフです。Bitwardenは、侵害されたサイトや信頼できないサイトが認証情報を取得するために悪用する可能性があると警告しています。便利さのために有効にする前に、URIの一致方法を理解し、挙動を確認した少数のログインだけで使うことを検討してください。これは設定についての案内で、特定の攻撃をここで再現したという意味ではありません。

EdgeとBitwardenの保管庫タイムアウト

拡張機能の設定で保管庫のタイムアウトと、ロックまたはログアウトなどの動作を選びます。Bitwardenの「時間経過」はPC全体のアイドル時間ではなく、Bitwardenを最後に操作してからの時間です。タブを一つ閉じても、ブラウザー拡張機能はロックされない場合があります。設定を確かめるときは、選んだ条件を満たした後に拡張機能が再認証を求めるか確認します。

EdgeでBitwardenの「ブラウザー再起動時」タイムアウトを使う場合、edge://settings/systemでStartup Boostと、Edge終了後もバックグラウンド拡張機能やアプリを実行する設定の両方をオフにするようBitwardenは案内しています。Edgeがバックグラウンドで動いたままなら、閉じても再起動条件を満たさないことがあります。Neverは保管庫のタイムアウトを行いません。Bitwardenは、この設定で暗号化キーが端末に暗号化されない状態で保存される可能性があると警告しています。

Edge内蔵の自動入力と失敗時の対応

Edgeも保存済みパスワードを候補に出す場合、どちらの管理機能が入力しようとしているか確認します。Edgeのパスワード自動入力とBitwardenの自動入力は別々の設定です。Bitwardenをパスワード管理に使うと決めた場合は、Bitwardenの案内に沿ってEdgeの保存・自動入力を別途調整できます。会社管理のブラウザーでは、ポリシーを変更する前に管理者へ相談してください。

候補が見つからないときは、ログイン項目にURIがあるか、一致方法が適切かを確認します。それでも失敗する場合、ログイン欄が別のフレームにある、または一般的でないフォームを使っている可能性があります。アドレスに疑いがある場合や、予想外の値が入力された場合は送信しないでください。メニューと動作はEdgeや拡張機能の版、組織ポリシー、サイトの設計で変わります。ここで示したのは文書に基づく確認方法で、実際の認証情報によるテストはしていません。

出典