パスキー（Passkey）とは、パスワードを入力する代わりに、スマートフォンやパソコンなどを使ってWebサイトやアプリへログインするための認証方式です。
顔認証や指紋認証、端末のPINなどを利用して本人確認できるため、複雑なパスワードを覚えたり、ログインするたびに入力したりする必要がありません。
また、パスキーは単にログインを簡単にするだけではなく、フィッシングなどの攻撃に強いというセキュリティ上の特徴もあります。
ここでは、パスキーの基本的な仕組みからパスワードとの違い、メリットや注意点までわかりやすく解説します。
パスキーとは
パスキーとは、公開鍵暗号方式を利用してユーザーを認証する仕組みです。
従来のWebサービスでは、ユーザーが設定したパスワードを使って本人確認する方法が広く利用されてきました。
一方、パスキーでは、ユーザーがパスワードを覚えて入力する必要がありません。スマートフォンやパソコンなどに保存された認証情報を利用し、端末の顔認証、指紋認証、PINなどによって本人確認を行います。
パスキーは、FIDO AllianceとW3C（World Wide Web Consortium）が策定してきたFIDO2やWebAuthnなどの標準技術を基盤としています。
パスキーの仕組み
パスキーを理解するうえで重要なのが「公開鍵暗号方式」です。
パスキーを登録すると、認証に使用する鍵のペアが生成されます。鍵は「公開鍵」と「秘密鍵」の2種類です。
公開鍵はログイン先となるサービス側に登録されます。一方、秘密鍵はユーザー側の端末などで管理されます。
ログイン時には、サービス側から送られてきた情報に対して秘密鍵を利用した暗号学的な処理が行われ、その結果をサービス側が公開鍵によって検証します。
正しく検証できれば、そのパスキーを持っているユーザーであることを確認できます。
秘密鍵そのものをログイン先のサービスへ送信する仕組みではありません。
パスキーとパスワードの違い
パスワード認証では、ユーザー自身が文字列を設定して、それをサービスへ入力することで本人確認を行います。
そのため、パスワードを忘れてしまったり、複数のサービスで同じパスワードを使い回したりする問題が発生します。
また、偽のログインページへ誘導してパスワードを入力させるフィッシングによって、認証情報が盗まれる可能性もあります。
パスキーでは、ユーザーがログイン用の秘密情報を文字列として入力する必要がありません。
さらに、パスキーの認証情報はWebサイトやサービスのドメインと関連付けられて利用されるため、一般的なパスワード認証と比較してフィッシングへの耐性が高くなっています。
パスキーでは顔や指紋の情報がサービスに送られるのか
パスキーについて、「顔認証や指紋認証のデータがWebサービスへ送信されるのではないか」と心配する人もいるかもしれません。
基本的に、顔や指紋などの生体情報そのものをログイン先のWebサービスへ送信して認証する仕組みではありません。
顔認証や指紋認証は、端末側でユーザー本人であることを確認し、パスキーを利用するための操作として使われます。
つまり、Webサービスがユーザーの指紋や顔のデータを受け取って照合するわけではありません。
パスキーのメリット
パスワードを覚える必要がない
パスキーでは、従来のようなログイン用パスワードを覚えて入力する必要がありません。
複雑なパスワードを何種類も管理する負担を減らせます。
フィッシングへの耐性が高い
パスキーは、認証情報が登録されたWebサイトやアプリと関連付けられています。
そのため、ユーザーを偽サイトへ誘導して認証情報を入力させる従来型のフィッシング攻撃に対して高い耐性があります。
パスワード漏えいのリスクを抑えられる
パスワード認証では、サービス側からパスワードに関連するデータが漏えいし、それが不正アクセスにつながる可能性があります。
パスキーではサービス側に公開鍵が保存され、秘密鍵はユーザー側で管理されます。公開鍵だけではユーザーになりすまして認証することはできません。
ログイン操作を簡単にできる
対応する環境では、顔認証や指紋認証などによって短時間でログインできます。
パスワードを入力してから追加の認証コードを入力するといった手順と比べ、ログイン操作を簡略化できる場合があります。
パスキーは二段階認証と同じなのか
パスキーと二段階認証は同じものではありません。
二段階認証は、パスワードに加えて認証アプリのコードやSMSなど、追加の認証手段を利用する方式です。
一方、パスキーはパスワードそのものを使用せずに認証できる仕組みです。
ただし、実際の認証方法や追加認証の有無はサービスによって異なります。
パスキーは複数の端末で使えるのか
パスキーは利用するOSやサービスなどによって、複数の端末間で同期できる場合があります。
たとえば、同じアカウントに紐づく端末間でパスキーを同期し、別の端末からログインできる仕組みがあります。
また、ログインしようとしているパソコンとは別のスマートフォンに保存されたパスキーを利用して認証できる場合もあります。
ただし、パスキーの保存方法や同期方法、利用可能な端末はOS、ブラウザ、サービスなどによって異なるため、利用する環境を確認することが重要です。
スマートフォンを紛失したらどうなる？
パスキーを保存しているスマートフォンを紛失したからといって、必ずしもアカウントへログインできなくなるわけではありません。
パスキーが複数の端末へ同期されていれば、別の端末から利用できる場合があります。
また、サービスによっては別の認証方法やアカウント復旧手段が用意されています。
端末を紛失した場合に備えて、利用しているサービスやパスキー管理環境の復旧方法を事前に確認しておくと安心です。
パスキーを利用するときの注意点
パスキーには多くのメリットがありますが、すべてのWebサイトやアプリで利用できるわけではありません。
サービス側がパスキーに対応している必要があります。
また、端末やOS、ブラウザ、パスキーを保存する仕組みによって、設定方法や同期方法が異なる場合があります。
特に重要なのがアカウントの復旧方法です。
スマートフォンの紛失や故障、機種変更などが発生した場合に、どのようにパスキーやアカウントへのアクセスを復旧できるのか確認しておきましょう。
パスキーが注目されている理由
インターネット上では長年にわたり、パスワードの使い回しやフィッシング、不正アクセスなどがセキュリティ上の課題となっています。
利用するサービスが増えるほど、それぞれに異なる強力なパスワードを設定して管理することはユーザーにとって大きな負担になります。
パスキーは、こうしたパスワードに依存した認証の問題を減らしながら、使いやすさとセキュリティの両方を向上させることを目的とした仕組みです。
スマートフォンやパソコン、Webサービスなどで対応が進むことで、パスワードを入力しないログイン方法の利用機会も増えています。
まとめ
パスキーとは、公開鍵暗号方式を利用し、パスワードを入力せずにWebサイトやアプリへログインできる認証方式です。
ユーザー側で管理される秘密鍵とサービス側に登録される公開鍵を利用して認証するため、従来のパスワード認証とは仕組みが大きく異なります。
顔認証や指紋認証、PINなどを使って簡単に本人確認できることに加えて、フィッシングへの耐性が高いことも大きな特徴です。
一方で、対応状況やパスキーの同期・復旧方法は利用するサービスや環境によって異なります。
パスキーを利用するときは、登録方法だけでなく、端末を紛失・故障した場合の復旧方法についても確認しておくことが重要です。
コメント