近年、「パスキー（passkey）」という新しい認証方式が注目を集めています。既に、Microsoft、Google、Appleをはじめとする大手IT企業が自社製品やアプリでパスキーを採用しています。“パスワードレス”時代の中核技術として位置づけられています。

パスワードに代わる認証方法「パスキー（passkey）」

パスキーは、FIDO Allianceと、Webの標準化団体World Wide Web Consortium（W3C）が共同で企画した「パスワードレス認証」の仕組みです。同2団体は、Web上でFIDO2による認証を行うWeb Authentication（Web Authn）というシステムも策定しています。

FIDOによる規格「FIDO2」により、パスワードレスでログインできるシステムは既に実現できていましたが、認証のための資格情報をデバイス内に保存する仕組みだったため、デバイスが変わるとその都度資格情報を再登録する必要がありました。そこで、FIDOは、マルチデバイスに対応するシステムを考えました。これが「multi-device FIDO credential」、呼称「パスキー」なのです。

従来のパスワードを用いたログインでは、IDとパスワードの両方を入力し、入力されたものが正しいかどうかをシステム側で確認して認証される仕組みでした。

FIDO認証では、公開鍵暗号方式を用いています。Webサービスに最初にログインするときに、アカウントとそのWebサービスに紐づく公開鍵を生成し、Webサービスのサーバーに登録します。それと同時に、デバイスには公開鍵と対になっている秘密鍵を保管します。

2回目以降にログインする際は、秘密鍵で暗号化した認証情報（資格情報）をサーバーに送り、サーバー側は対になっている公開鍵で検証を行います。この秘密鍵をデバイスごとに保管していたFIDO2と異なり、パスキーでは作成した秘密鍵をクラウドで保管し、各端末でのログイン時に用いるようになっているわけです。

なお、パスキーとは上記のとおり、multi-device FIDO credentialのことを言いますが、FIDO2認証でパスワードレス認証を行う仕組み全般のこともパスキーと呼ぶことがあります。

パスワード認証の課題

パスワード認証は、サービスごとにパスワードを使い分けなければならない、類推されにくいように長く複雑なパスワードを設定しなければならないなど、ユーザーにとっても煩わしいものになっていました。IDとパスワードが盗まれてリスト化され、それを用いて攻撃されるといった事件や、パスワードを考えられるすべてのパターンで総当たり攻撃（ブルートフォースアタック）するといったことが相次いだからです。

パスキーが広く使われるようになれば、パスワードは不要になり、パスワードの脆弱性をつく攻撃はなくなります。また、SMSなどを使った多要素認証よりもパスキーの方が操作のステップが減り、簡単にログインできるようになります。

パスキーの仕組み

パスキーは、FIDO2ベースの認証技術を進化させたものです。従来のFIDO2では、秘密鍵は端末内に保存、端末ごとに認証登録が必要という制約がありました。パスキーではこれが改善され、クラウド上で鍵を管理できる（マルチデバイス対応）ようになっています。

認証の流れ

初回ログイン時に鍵ペアを生成
公開鍵をサーバーへ登録
秘密鍵をデバイスに保存
ログイン時に秘密鍵で署名
公開鍵で検証

“本人のデバイス”が認証の前提にパスワードなしで安全な認証が可能になります

パスキーのメリット

セキュリティと利便性を同時に高められる点にあります。まず、パスワードを送信しない仕組みのため、フィッシング攻撃やパスワード漏えいによる不正ログインのリスクを大幅に低減できます。さらに、顔認証や指紋認証などの生体認証でログインできるため、複雑なパスワードを覚える必要がなく、ユーザーの操作負担が軽減されます。

加えて、デバイスと鍵による認証により、安全性の高い多要素認証を自然に実現できます。その結果、パスキーは「セキュリティ強化」と「使いやすさ」の両立を可能にする認証方式といえます。

パスキーと従来認証の違い

関連記事：混同されがちな「認証」と「認可」の違いを確認！
https://hypervoice.jp/authentication_authorization

企業にとっての重要性

企業にとってパスキーは、ランサムウェア対策を含むセキュリティ強化の中核となる重要な認証基盤です。多くのランサムウェア攻撃は、認証情報の窃取や不正ログインを起点としており、パスキーのようにパスワードを使わない仕組みを導入することで、フィッシングやリスト攻撃による侵入リスクを大幅に低減できます。

さらに、生体認証を活用した安全な認証を実現できるため、ユーザーの利便性を損なわずに多要素認証を強化できます。加えて、パスワード管理やリセット対応の負担が軽減されるため、人材不足の企業でも安定した運用が可能になります。その結果、パスキーは「侵入防止」「運用負荷軽減」「ユーザー体験向上」を同時に実現できる、今後の企業セキュリティにおいて不可欠な要素といえます。

関連記事：日本のセキュリティ人材不足の現状と育成の取り組みを紹介！
https://hypervoice.jp/security-talent-shortage

まとめ

・パスキーはパスワードを使わない認証方式
・ランサムウェア対策にも有効
・パスキーは生体認証ができるデバイスで設定可能