セキュリティと仕組み

モバイル版

モバイル版 KULMS+ は、アプリ内の WebView（iOS: WKWebView / Android: android.webkit.WebView）を通じて京都大学の認証サーバー（auth.iimc.kyoto-u.ac.jp）に直接通信します。KULMS+ の開発者のサーバーに認証情報が送信されることはありません。

ブラウザ拡張機能版

ブラウザ拡張機能版はブラウザ本体のセッション（Cookie）を利用するため、認証情報を一切扱いません。LMS API へのアクセスは、ブラウザが保持する既存のログインセッションを利用します。

モバイル版でパスワードの保存を選択した場合、各プラットフォームのセキュアストレージに暗号化して保存されます。

プラットフォーム	保存先	暗号化方式
iOS	iOS Keychain	OS 管理の暗号化
Android	SharedPreferences	AES-256 GCM（AndroidKeyStore 管理鍵）
ブラウザ拡張	認証情報は保存しません（ブラウザのセッションを利用）

KULMS+ に TOTP シークレットキーを登録しておくことで、ログイン時のワンタイムパスワード入力を自動化できます。ブラウザ拡張機能版では登録ページにアクセスするだけで設定が完了します。

設定方法やセキュリティの詳細は 2段階認証（TOTP）の設定ガイド をご覧ください。

ローカルストレージ

拡張機能が保存するデータ（課題キャッシュ、メモ、設定、チェック状態など）はすべてブラウザのローカルストレージ（chrome.storage.local）にのみ保存され、外部サーバーに送信されることはありません。

外部との通信

KULMS+ は以下のドメインとのみ通信します。第三者のサーバーを経由することはなく、アナリティクス・トラッキング・広告関連の通信は一切ありません。

• lms.gakusei.kyoto-u.ac.jp — 京都大学 LMS（課題・クイズ・科目情報）
• www.k.kyoto-u.ac.jp — KULASIS シラバス（教科書情報）
• auth.iimc.kyoto-u.ac.jp — 統合認証システム（TOTP 自動入力・登録）

ソースコード

KULMS+ はオープンソースで開発されており、認証情報の取り扱いを含むすべてのコードを GitHub で公開しています。どなたでもご確認いただけます。