「もうパスワードを覚えなくていい？」パスキーを使った安全・安心・便利なログイン

パスキーによるログインとは、従来のパスワードの代わりに、主に指紋認証や顔認証などの生体認証を使うログインのことです。

「パスワードレス認証」とは、そもそもパスワードを使わない方法を指すので、さまざまな認証方法が含まれています。たとえば、SMSで送られるワンタイムパスワードを使うと、パスワードを入力せずに認証されますが、これも広い意味でのパスワードレス認証の一部です。

一方、パスキーは、「FIDO認証」という、パスワードなしで安全にログインするための認証技術で使われる公開鍵と秘密鍵のペア、あるいは秘密鍵そのものを指すことが多いです。

また、パスワードレス認証とパスキーによるログインの大きな違いの一つは、生体認証の利用が容易なことです。
パスキーでは、たとえばスマートフォンのロック解除で使う顔認証や指紋認証の仕組みを、そのままウェブログインにも活用できる点が特徴です。

まず、パスキーは「公開鍵暗号方式」を使った認証方法（下図）です。公開鍵暗号方式では、ユーザーが大事にしまっておく情報である秘密鍵と、誰にでも見せても良い情報である公開鍵のペアを作成して利用します。

パスキーはユーザーのスマホなどのデバイスに保存され、サーバー側には公開鍵しか保存されません。公開鍵が仮に漏洩しても、対応する秘密鍵を持っていないとログインできない、というのが、パスワードを使ったログインよりも安全と言われる理由の1つです。

また、パスキーは基本的には利用するサイトのドメインやアカウントごとにユニークなものが生成されます。そのため、異なるサービスで同じパスキーを使い回すことがありません。
そのため、万が一ユーザーがだまされて異なるドメインのフィッシングサイトに誘導されても、攻撃者は目的とするサイトにログインするための情報を盗み出すことはできません。

これらの理由により、パスキーによるログインは、パスワードの漏えいやフィッシング詐欺のリスクを大幅に減らすことができるといえると思います。

パスキーはデバイスに保存されるため、長くて複雑なパスワードを作ったり覚えたりする必要がありません。
また、顔や指紋などの生体認証を使うことで、ログインが非常に素早く行えることもメリットです。

いえ、そうではなくて、サイトごとに異なるパスキーを作成する必要があります。

ただ、そのパスキーを使う前には、顔認証や指紋認証、PINコードなどの検証プロセスを経る必要があります。これらは、多くの方が普段スマホやPCで使っている認証方法なので、特別な手間はありません。

パスキーの管理は、スマホやPCといった「認証器」と呼ばれるデバイスが自動で行います。この仕組みにより、サイトごとに管理されているパスキーは、認証器で顔認証などの検証が成功すれば使用可能になります。

このように理解していただけると、少しわかりやすいと思います。

実は、私の母からも同じような質問をされたことがあります。
パスキーを使うためのログインに指紋や顔認証を使っているので、そう思われる方は多いかもしれませんね。

そのときは説明が難しくて、「そういうものだよ」と言ってしまいました...。

「パスワードの代わりにパスキーを使いましょう」というフレーズが多くの人に響いた背景があるというのがひとつの理由だと思います。

たとえば「秘密鍵を作ります」と言われても、多くの方はピンと来にくいかもしれません。
でも、「パスキーを作ります。これはパスワードの代わりになり、安全に管理されます」と言えば、多くの方が「これまで自分で考えて設定していたパスワードが、自動的に安全な形で生成される」というイメージを持ちやすいのではないでしょうか。

そうですね。また、以前は、パスキーを管理するために専用の認証アプリをインストールするのが一般的でした。
ですが、最近はユーザーのパスワードを安全に保存し、必要なときに自動で入力してくれる「パスワードマネージャー」と呼ばれるものが普及しており、そのツールがパスキーも管理しています。

たとえば、Chromeなどのブラウザでパスワードマネージャーを開くと、さまざまなアカウントが一覧表示されますよね。以前はここにパスワードしか表示されていませんでしたが、最近ではパスキーもリストに表示されるようになっています。
このように、パスキーによるログインがより身近なものになってきたと思います。

はい、その通りです。たとえば、通常のパスワードでログインした後に「パスキーを登録しますか？」というメッセージが表示されることがあります。
このメッセージで登録を選んで普段画面ロックに利用している生体認証に成功すると、パスキーが自動的に作成されますので、まずは普段良く使っているアカウントから始めてみてもいいと思います。

Yahoo! JAPAN IDでもパスキーをご利用いただけますので、よかったら試してみてください。

そうですね。パスワードマネージャーを使う際に気を付けるべき点として、まず、その認証方法があります。

パスワードマネージャーの中には、個別のサイトのパスワードを入力する代わりに共通した1つのマスターパスワードを入力して他のパスワードを管理するものもあります。
そのため、パスワードマネージャーでパスワードを使う場合は、マスターパスワードは推測されにくいものに設定することが重要です。

ただ、最近は生体認証やパスキーを使ってマスターパスワードを使わない方法も増えてきました。たとえば、ChromeではTouch IDを使った指紋認証が利用可能です。

具体的な使い方のアドバイスとしては、普段よく使うアカウント、たとえばニュースを読むためだけのサービスへのログインなどは、パスワードマネージャーに任せて管理を簡単にする、というのも一つの方法です。

そうですね。そのようにまずパスキーを使ってみて便利だと感じたら、今使っているアカウントの価値を見つめ直すことも大切です。

「このサービスまでは任せて良い」とか、「このサービスはパスキーが利用できないからやめておこう」などの自分の基準を持つことは、デジタルリテラシーとして非常に重要だと思います。

今回紹介したパスキーは、パスワードに比べてフィッシング攻撃や漏洩に強い耐性のある技術です。
まだパスキーを使ったことがない方は、パスワードマネージャーに慣れてきたら、使いやすくてより安全なパスキーの利用も検討してみてください。