ブラウザで生成したパスワードをコピーしたあと、クリップボード履歴になぜ平文が残るのか

パスワードを作ったあとの次の動作は、ほぼ決まっています。ページのコピーを押し、会員登録、ルーター管理画面、サーバーパネルへ貼る。ボタンの文言は「これから貼る場所へ送る」ように聞こえます。順番は逆です。ページは先に navigator.clipboard.writeText を呼び、文字列をOSへ渡します。貼り付けは、そのあとの読み出しにすぎません。二つの操作のあいだ、平文はもうそのタブの専有物ではありません。

UsePwdのパスワード生成も同じ経路です。ランダムは6–128文字、初期値は16文字。8文字未満は弱いと表示します。文字は現在のタブでWeb Cryptoから取り、登録不要ですぐ使えます。成功時の表示は「クリップボードにコピーしました。」です。指しているのはシステムのクリップボードであり、「次の入力欄だけに存在する」ではありません。この文字列はUsePwdへのリクエスト本文に出ません。セキュリティが答えるのは「平文がブラウザを出てUsePwdへ届くか」です。本記事が補うのはその次の層です。タブを離れたあと、OSはまだその文字列を持てるか。

「新しい鍵をチャットへ貼ってはいけない」とは層が違います。あちらは、検索でき、同期され、アーカイブされるチャンネルへ、自分でAPIキーを貼る話です。クラウドの環境変数が流出したあと、新しい鍵をチャットに送ってはいけない理由を見てください。本記事は貼る前に起きます。チャットをまだ開いていなくても、Win+V、あるいは同じアカウントの別端末で、いまコピーした文字列を読めることがあります。

Windows 10とWindows 11には、クリップボードの履歴があります。初めて使うときは、Windows ロゴ キー+V を押し、「有効にする」を選びます。以降、対応形式に収まる普通のコピーは、この一覧へ入ります。Microsoftのサポートは上限をこう書いています。履歴は最大25件。1件は4MBまで。対応形式はテキスト、HTML、ビットマップ。ピン留めしていない古い項目は、新しい項目のために落ちます。

再起動すると、ピン留めしていない履歴は消えます。ピン留めした項目は例外です。再起動でも、「新しい項目のための空き」でも消えません。1件消すときは Win+V を開き、その項目の「詳細を表示」から削除します。端末とクラウドの、ピン留めしていない内容を一度に消すなら、「設定 → システム → クリップボード → クリップボード データのクリア」、または履歴パネル上部の「すべてクリア」です。手順は Microsoft サポート「クリップボードの使用」 にあり、手元のPCで同じ操作をできます。

パスワードは4MBよりはるかに小さいので、長さは門になりません。16文字のランダム、128文字のランダム、生成器で複数行をまとめてコピーした塊も、テキストとして履歴に入ります。スクリーンショットもクリップボードを通ります。画面に出たままのパスワードを撮れば、そのビットマップが25件のうち1枠を使います。パネルに文字が見えるからといって、履歴が文字だけを持つわけではありません。

Windowsのデバイス間同期は、Microsoftアカウントまたは職場アカウントに紐づきます。経路は「設定 → システム → クリップボード」です。「デバイス間のクリップボード履歴」をオンにします。自動同期は、コピーしたテキストをクラウドへ上げ、同じサインインの他端末へ届けます。手動同期は、先に Win+V を押し、その項目の同期ボタンを押してから上がります。どちらも同じMicrosoftサポート文書にあります。違いは「クラウドに入るか」ではありません。「毎回入るか、印を付けたときだけ入るか」です。

Apple端末は別の管です。ユニバーサルクリップボードはHandoffの上にあります。同じApple Accountで、互いに近い端末なら、一方でコピーし、他方で貼れます。Appleの 「Handoffのセキュリティ」（ページ表記は2021年2月18日）には、その場で照合できることが二つあります。第一に、アプリのデベロッパが共有を禁じない限り、クリップボードの内容は既定でユニバーサルクリップボードと共有されます。第二に、アプリはユーザーが貼る前でもクリップボードを読めます。ユニバーサルクリップボードがオンなら、この読み取りは、同じサインインの他端末上のアプリへ広がります。

転送そのものは暗号化されています。HandoffはBluetooth Low Energyで告知し、活動のペイロードをiMessageに近い方法で守り、大きなデータは端末同士のWi-Fi上のTLSで動かします。これは「経路上の第三者が中身を開けないかもしれない」という意味です。「台所の共用iPadが読めない」ではありません。信頼モデルはアカウントであり、1台のPCではありません。家族で一つのApple Accountを共有する、会社のノートと自宅PCが同じMicrosoftアカウント、どちらも、いまコピーしたパスワードの読める範囲を一回り広げます。

MicrosoftのWin32文書は、「クラウドクリップボードとクリップボード履歴の形式」を別に列挙しています。履歴や他端末へ入れたくないアプリは、次の形式を登録して書けます。ExcludeClipboardContentFromMonitorProcessing は、その書き込みの全形式を履歴にも同期にも入れません。CanIncludeInClipboardHistory に値0の DWORD を置くと履歴に入らず、1だと履歴へ入れるよう明示します。CanUploadToCloudClipboard の0と1はクラウド同期だけを制御し、本機の履歴は変えません。説明は Microsoft Learn「Clipboard Formats」 にあります。

パスワードマネージャーとWindows資格情報マネージャーは、このネイティブ経路を使います。ウェブページの navigator.clipboard.writeText に同等の能力はありません。テキストは書けますが、上記の除外形式は付けられません。だからページのコピーは、システムにもサードパーティの履歴ツールにも、ただのテキストです。某サイトが「暗号化を忘れた」のではありません。ページに許されたクリップボードAPIが、もともとテキストで止まっている、ということです。

UsePwdはパスワード保管庫ではなく、アカウントもありません。上部バー右側は言語切替だけです。生成ページも強度チェックも、登録不要ですぐ使えます。強度チェックは本機で強度を見積もり、ページ同梱の弱いパスワードの公開リストと照合します。調べるパスワードは上げず、Have I Been Pwnedでもネット全体の照会でもありません。これらの約束がカバーするのは「パスワードがUsePwdのリクエストに入ったか」です。Windowsが同じ文字列を Win+V へ書いたかはカバーしません。二つは同時に成り立ちます。ネットワークパネルはきれいでも、クリップボード履歴には平文が残ります。