ニュースソース：AgileBits Blog
パスワード管理ツールの1Passwordを提供するAgileBits Inc.は、影響が懸念されているCloudFlareのバグにかかわらず、1Password利用時のデータについては安全性が保たれると公式ブログで説明しています。
以下は2017年2月23日に公開されたその説明Three layers of encryption keeps you safe when SSL/TLS failsを要約したものです。
CloudFlareのセキュリティバグによる1Passwordへの影響については、今後詳細を報告する予定です。
しかし、1PasswordはSSL/TLSの安全性が崩壊した場合にも対処できる堅牢な設計です。
サインインにSRPを利用
サービス利用時のサインインでは、クライアントと1Password.com間で、機密データが通信されることはありません。
1PasswordのサインインにはSRP（セキュアリモートパスワードプロトコル）が利用されるため、機密データを送信することなく、サーバー/クライアントは互いにIDの認証を行うことができます。
このことは、ユーザーはマスターパスワードを変更する必要することがないことを意味します。
3層構造による暗号化
実際のデータはSSL/TLSを含めた以下の3層によって暗号化されているため、万が一SSL/TLSのチャンネルに危殆化が生じた場合にも、他の2層によって安全性を保つことが可能です。
- SSL/TLSは、本来はhttpsの安全性を担う層です。しかし、今回はCloudflareのバグによって脆弱性が生じたため、この層からデータが流出したとされています。
- 1Passwordのトランスポート層は、サインイン中にSRPを使用して生成されるセッション鍵を利用した、認証付き暗号（AE: Authenticated Encryption）です。秘密のセッション鍵は、送信されることはありません。
- 中核を担うのは、データの暗号化技術です。ユーザーが自身のシステムからデータにアクセスする時を除いて、データは、マスターパスワードおよび秘密のアカウントコードによって生成される鍵によって暗号化されます。1Passwordのサーバーが攻撃された場合にも（されない場合にも）、機密データを守ることができるため、最も重要な層です。