パスキーとは：パスワードに代わるログイン

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

パスワードは、覚えにくい、使い回してしまう、偽のサイトに入力してしまう、といった弱点があります。こうした弱点を補う仕組みがパスキーです。対応しているサービスでは、ログインの画面にパスキーの選択肢が表示されます。この記事では、パスキーの仕組みと、会社で使うときの考え方を整理します。

パスキーとは何ですか？

FIDOアライアンス（パスワードに頼らない認証の標準を定める業界団体）は、パスキーを、FIDOの標準にもとづいてパスワードを置き換える仕組みと説明しています。ログインするときは、スマートフォンやパソコン、セキュリティキーのロックを解除するときと同じ生体認証やPINで、ログインの要求を承認します。

パスワードとの大きな違いは、利用者が覚えて入力する秘密がないことです。パスキーは、2つで1組の鍵（公開鍵と秘密鍵）を使う暗号の仕組みです。

• 秘密鍵： 利用者の端末の側に保管されます。サービス側が知ることはありません
• 公開鍵： サービスのサーバーに登録されます。公開鍵だけでは、本人になりすますことはできません

Appleのサポートの説明でも、サーバーが持つのは公開鍵だけで、秘密鍵は端末の側にあるとされています。顔認証や指紋は、手元の端末でログインを承認するために使います。

なぜ偽サイトにだまされにくいのですか？

パスワードは、利用者とサービスが同じ秘密を共有する仕組みです。そのため、本物そっくりの偽サイトに入力してしまうと、そのまま盗まれて悪用されます。

パスキーでは、共有の秘密を送りません。Appleのサポートでも、共有の秘密を送信しないため、偽サイトに対して使っても悪用されにくいと説明されています。FIDOアライアンスも、FIDOの認証はフィッシングや、漏れたパスワードの組み合わせを次々に試す攻撃などへの耐性があるとしています。

また、パスキーはサービスごとに別々に作られるため、パスワードのように同じものを使い回すことがありません。

「同期」と「端末に固定」の2種類は、どう違いますか？

FIDOアライアンスの説明では、パスキーには大きく2つの種類があります。

• 同期パスキー： GoogleやAppleなどのアカウントにバックアップされ、同じアカウントの別の端末でも使えます。端末を買い替えたときも引き継ぎやすい形です
• 端末に固定のパスキー： 物理的なセキュリティキーなどに入っていて、外には出ません。同期を必要としない組織に向いています

FIDOアライアンスの企業向けのホワイトペーパーでは、少ない台数の端末を日常的に使う人には同期パスキーが向き、共有の端末で個人のアカウントを使う場面には物理的なセキュリティキーが向くと整理しています。物理的なキーは、1人に2本用意して予備にすることが勧められています。

会社で使い始めるときは、どう進めればよいですか？

同じホワイトペーパーは、まずパスワードだけでログインしている用途をパスキーに置き換えることを想定しています。進め方は次のように考えると整理しやすくなります。

1. 対象を決める： 業務で使うサービスの中で、パスキーに対応しているものを洗い出します。社内の複数のサービスにまとめてログインする仕組み（シングルサインオン）がパスキーに対応すれば、つながっているサービスに広げやすくなります
2. 端末と種類を決める： 社員が使う端末の種類と台数を確かめ、同期パスキーにするか、セキュリティキーにするかを決めます
3. 回復の手順を決める： 端末をなくしたとき、退職や異動のときに、誰がどう手続きするかを決めます。ホワイトペーパーでは、パスキーを戻せない場合に備えて、パスワードを回復の手段として残す方法にも触れています
4. 社員に伝える： 何が変わるのか、困ったときの連絡先を、短い手順書で伝えます

アカウントの一覧と権限の管理をあわせて見直すと、退職した人のアカウントが残る、といった問題も見つけやすくなります。導入の手順は多要素認証・パスキーの導入の進め方で詳しく説明しています。