【オープンソース】ローカル完結型のパスワード管理ツール「Sesame」を公開！

ローカル環境でパスワードを安全に管理できるオープンソースツール「Sesame」を開発しました。アカウント作成は不要で、データ自体をサーバーにアップロードすることもない「ローカルファースト」な設計が特徴です。現在はまだ開発初期段階であり、第三者機関によるセキュリティ監査も完了していません。そのため、現在はコードレビューやテスト、フィードバックをいただける方を募集中です。ぜひ触ってみてください！（Linux版は現在開発中で、v0.1.2以降で対応予定です）

これってVaultwarden + Bitwardenと比べてどうなの？個人的に心配なのは、VWがいつでも好きな時にセルフホストのサポートを打ち切る可能性があることかな。別にそうする理由があるわけじゃないけどさ。

KeePassXCと比べるとどう？

セルフホストできるのはいいよね。大手パスワードマネージャーが嫌いなわけじゃないし（実際使ってお金も払ってるし）、でも彼らは当然ハッカーの格好の標的になる。もし全員が自分のドメインでパスワード保管庫をセルフホストできれば、ハッカーが盗み出すのがずっと難しくなるはず。

気を悪くしないでほしいんだけど、アプリやサイトのデザインは変えたほうがいいかも。個人的には今のデザイン、完全に「Claudeのvibe-code感」が漂ってる。

またTauriか。じゃあBitwardenと何が違うの？デスクトップアプリとWeb版は別物でしょ。

Vibe-coded（AI生成）のパスワードマネージャー？いいね！どこで登録できるの？

MFAトークンをパスワードと一緒に保存するなんて、パスワードマネージャー開発者は何を考えてるんだろう。それじゃMFAの意味が全くないってことに、なぜ気づかないんだろ。

F-Droidによく出てくる新しいパスワードマネージャーを軽くチェックしてるけど、ほとんどは誰でも見つけられるようなセキュリティ上の欠陥を抱えてるよ。概念的には単純なソフト（文字列を関数に通してディスクに書き込むだけ）だから、新しい言語の学習にはいいかもしれないけど、練習で作ったものを堂々とストアに並べるべきなの？だから、既存のプロジェクトの何がダメだったのかにも触れず、機能やUIの良さばかり並べ立てる新しいツールには懐疑的になってしまう。数ヶ月前に読んだ研究でも、古いコードの方が新しいコードよりバグが少ないってデータが出てたしね。なぜわざわざ、先人が陥った失敗をわざわざやり直す新しいプロジェクトを作るの？不満があるならプルリクを送るか、最悪でもフォークで済ませることはできなかったのかな。

つまり、マルウェアに感染したシステム上でパスワードを復号すれば、マルウェアは全パスワードを入手できちゃうってことだよね。攻撃者にとっては天国だよ。

攻撃者がやることなんて、セサミ（sesame）用のラッパーを仕込んで、データベースのロックが解除されるのを待ち、平文の全パスワードをどっかのPastebinに送信させるだけでいい。

これを防ぐには、各パスワードをYubikeyやNitrokeyのようなデバイス内の鍵で暗号化し、タッチ操作を必須にする必要がある。そうすれば、攻撃者が100個のパスワードデータベースを盗もうとしたら、ユーザーに100回も物理キーやTouch IDをタップさせる必要が出てくる。さすがにユーザーも異常に気づいて止めるはずだから、被害を最小限に抑えられる。

私はもう10年以上、標準的なUNIXパスワードマネージャーの「password store」でこの運用をしてる。あの小さなシェルスクリプトこそ、パスワードマネージャーとして最低限備えるべきセキュリティだよ。

1passwordやLastPassみたいな大手でもこの辺を間違えてるのは分かってる。はっきり言って、彼らの開発現場に優秀なセキュリティエンジニアなんて一人もいないんだろうね。設計レベルで根本から怠慢だし、こんな設計を模倣すべきじゃない。

もしvibe-codeでサイトを作るなら、せめて文章くらい自分で書こうよ。AIが書いた文章って読むのが本当に疲れるんだ。