Secure Vault

📄 技術論文: SecureVault_Technical_Paper_v3.5.0.pdf · Zenodo で引用

Windows 向けのローカルファーストなファイル暗号化。パスワードではなく物理的な USB キーで保護します。

⚠️ v3.5.0 には破壊的なセキュリティ修正が含まれています — 以前のバージョンから更新する前に CHANGELOG.md を確認してください。

これは何か
なぜパスワードではなく USB キーなのか
機能
インストール
初回セットアップ
Secure Vault の使い方
コマンドラインの使用法
設定ファイル
ソースからのインストーラーのビルド
セキュリティに関する注意
トラブルシューティング
ライセンス

これは何か

Secure Vault は、Windows マシン上の個々のファイル (またはフォルダー) を AES-256-GCM で暗号化します。暗号化キーをパスワードだけで保護するのではなく、キーはランダムに生成され、あなたが選んだ USB フラッシュドライブ に保存されます。後で何かを復号するには、その同じ USB ドライブを物理的に接続する必要があります。

なぜパスワードではなく USB キーなのか

パスワードは推測、フィッシング、キーロガー、総当たり攻撃の対象になります。物理キーは、パスワードのように遠隔から盗まれることはありません。これに頼る前に理解しておくべきトレードオフ:

誰かがあなたのノート PC を盗んでも、USB ドライブを 盗んでいなければ、ファイルを復号することはできません。
入力したり、覚えたり、漏洩したりするものは何もありません。
パスワードリセットはありません。 USB ドライブを紛失し、その中のキーファイルのバックアップも持っていない場合、それで暗号化されたものはすべて永久に復元できません。そのドライブは物理的な家の鍵のように扱ってください — 常にどこにあるか把握し、キーファイル自体のバックアップコピーを安全な第二の場所に保管することを検討してください。

機能

scrypt 鍵導出を用いた AES-256-GCM 暗号化
USB ベースのマスターキー、および複数マシン用のオプションのデバイスごとのキー
自動ローテーション付きの暗号化ローカルバックアップ (直近 5 件を保持、30 日後に期限切れ)
ファイル整合性チェックサム (改ざん/破損を検出)
暗号化後の元ファイルのマルチパス安全削除
保管庫の操作が行われた際のオプションのメールアラート
Windows エクスプローラーでのオプションの右クリック「Secure Vault で暗号化/復号」エントリ
完全に無人インストーラー — 最初のダブルクリック以外に対話は不要

インストール

Releases ページに移動し、最新の SecureVaultSetup-x.x.x.exe をダウンロードします。
実行します。
- Windows が「Windows によって PC が保護されました」という SmartScreen 警告を表示する場合があります。 これは新しい未署名のインストーラーでは想定される動作です — 「詳細情報」→「実行」 をクリックしてください。これが起こる理由についてはセキュリティに関する注意を参照してください。
- インストーラーには管理者権限が必要です (Node.js が存在しない場合はインストールし、右クリックのシェル拡張を登録する場合があります)。
セットアップ中に、デスクトップショートカットを作成するか、右クリックメニュー統合を追加するかを尋ねられます — どちらもオプションです。希望するボックスにチェックを入れてください。
インストーラーは以下を行います:
- Node.js を確認し、存在しない場合はサイレントインストールします
- アプリを Program Files\SecureVault (または選択した場所) にインストールします
- 必要な依存関係 1 つ (nodemailer、オプションのメール機能でのみ使用) をインストールします
- スタートメニュー / デスクトップのショートカットを作成します
完了をクリックします — Secure Vault が自動的に起動します。

通常のインストールでは手動の手順やコマンドラインは不要です。

初回セットアップ

インストール後に最初に行うべきことは、USB ドライブをマスターキーとして登録する ことです。これが完了するまで、何も暗号化または復号できません。

この目的に専用することを許容できる USB フラッシュドライブを接続します。
Secure Vault を起動します (スタートメニューまたはデスクトップのショートカット)。
メニューから オプション 3 — USB の登録 を選択します。
入力: master
ドライブレターを入力します (例: E:)。失敗する場合はトラブルシューティングを参照してください。
Secure Vault はそのドライブのルートに .vault_master.key ファイルを書き込みます。このファイルを削除しないでください。また、このドライブを失わないでください。

オプションですが推奨: プライマリのドライブを紛失または破損した場合に備えて、その .vault_master.key ファイルを安全に保管した第二の USB ドライブにバックアップとしてコピーしてください。

Secure Vault の使い方

スタートメニュー / デスクトップのショートカットからアプリを起動すると、対話型メニューが表示されます:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. ファイルの暗号化

オプション 1 を選択し、ファイルまたはフォルダーの完全なパスを入力します。登録済みの USB ドライブが接続されている必要があります。出力は .vault ファイルです。暗号化とバックアップが成功した後、元のファイルは安全に削除されます (3 回上書き)。

2. ファイルの復号

オプション 2 を選択し、.vault ファイルのパスを入力します。登録済みの USB ドライブが接続されている必要があります — これなしでは復号は不可能です。

3. USB キーの登録

上記の初回セットアップで説明しています。全体で 1 つのマスターキーを維持しつつ、2 台目のマシン用に別のキーが必要な場合は、デバイスごとの追加キー を登録することもできます (master の代わりに device を選択)。

4. 登録済みデバイスの表示

現在登録されているすべての USB キー (マスターおよびデバイス) を config/registered-devices.json から取得して一覧表示します。

5. バックアップ

ファイルを暗号化するたびに、Secure Vault は暗号化されたバックアップコピーをローカルに自動保存します (ローテーション — 直近 5 件を保持、30 日後に自動期限切れ)。オプション 5 では、これらを一覧表示して表示できます。

6. 復元

復号を経由せずに暗号化前のバージョンを取り戻す必要がある場合に、これらのローカルバックアップの 1 つからファイルを復元します。

7. メールアラート

オプション。保管庫の操作 (暗号化/復号) が行われるたびに、どのファイル、どのコンピューター、いつ、を含めてメールを送信します。

セットアップには Gmail のアプリパスワードが必要です — 通常の Gmail パスワードではありません。 手順:

送信元にしたい Gmail アカウントで 2 段階認証プロセスが有効になっている ことを確認します — myaccount.google.com/security にアクセスし、まだ有効でなければオンにします。これがないとアプリパスワードは利用できません。
myaccount.google.com/apppasswords にアクセスし、サインインして新しいアプリパスワードを生成します (名前は何でも構いません。例: 「Secure Vault」)。表示される 16 文字のコードをコピーします — これは一度しか表示されません。
Secure Vault で オプション 7 を選択します。
プロンプトに答えます:
- Enable email alerts? (y/n) → y
- Your Gmail address → アプリパスワードを生成したアカウント
- Gmail App Password → 16 文字のコードを貼り付けます (実際の Gmail パスワードではありません)
- Alert recipient email → アラートの送信先 (同じアドレスでも可)

注意:

この機能は現在の実装では Gmail 専用です (smtp.gmail.com にハードコードされています)。
アプリパスワードはマシン上の config/settings.json に平文で保存されます — このファイルを共有しないでください。また、実際の認証情報を含めたまま公開リポジトリにコミットしないでください。
送信に失敗した場合 (パスワードが間違っている、インターネットがない)、エラーをログに記録して続行します — 暗号化/復号操作をブロックしたり壊したりすることは決してありません。
完全にオプションです — n と答えるとスキップされ、他のすべては同じように動作します。

8. 右クリック統合

Windows エクスプローラーの右クリックメニューに「Secure Vault で暗号化」/「Secure Vault で復号」を追加し、アプリのメニューを先に開かずに暗号化/復号できるようにします。

コマンドラインの使用法

すべては対話型メニューなしでも利用できます:

node secure-vault-launcher.js encrypt "C:\path\to\file"
node secure-vault-launcher.js decrypt "C:\path\to\file.vault"
node secure-vault-launcher.js register master E:
node secure-vault-launcher.js register device F:
node secure-vault-launcher.js devices
node secure-vault-launcher.js backup list
node secure-vault-launcher.js backup view <name>
node secure-vault-launcher.js backup view-latest
node secure-vault-launcher.js restore list
node secure-vault-launcher.js restore restore "C:\path\to\file"
node secure-vault-launcher.js email
node secure-vault-launcher.js rightclick
node secure-vault-launcher.js help

インストールフォルダー (例: C:\Program Files\SecureVault) からこれを実行してください。

設定ファイル

ファイル	目的
`config/settings.json`	メールアラート設定 (アドレス、アプリパスワード、有効フラグ)
`config/registered-devices.json`	登録済み USB デバイスのリスト

これらはインストール時に安全なプレースホルダー値で作成され、アプリの使用に応じて自動的に更新されます — 手動での編集は不要です。

ソースからのインストーラーのビルド

Windows でローカルにビルドする場合は Inno Setup 6 が必要です:

iscc installer.iss

出力: dist/SecureVaultSetup-<version>.exe

または GitHub Actions にビルドさせることもできます (Windows マシンは不要) — バージョンタグをプッシュします:

git tag v3.5.0
git push origin v3.5.0

.github/workflows/build.yml のワークフローが Windows ランナーでインストーラーをビルドし、自動的に GitHub Release に添付します。

secure-vault-for-commercial

人気