パスキーとは
パスキーとは、パスワードに代わる新しい認証方式です。FIDO（ファイド）アライアンスとWeb標準化団体のW3Cが共同で規格化しています。従来のパスワード認証では、パスワードが漏えいするとアカウント乗っ取りや、フィッシング攻撃などの被害につながるリスクがありました。また、パスワードを覚えるのが面倒で使い回す人も多かったため、不正ログインの危険性が懸念されていました。
一方でパスキーは、指紋や顔といった生体情報を利用するため、パスワードの抱える課題を解決しています。パスキーに登録される生体情報は盗むことが困難なため、パスワードの漏えいやフィッシング攻撃などのリスクが大幅に低減されます。また、複雑なパスワードを覚える必要がなくなるため、ログイン認証時の利便性も向上しました。
広義のパスキーと狭義のパスキー
パスキーは、「広義」と「狭義」の2つで定義されています。広義のパスキーとは、パスワードレス認証の総称であり、FIDOアライアンスが提唱する技術規格に準拠した認証方式全般を指します。狭義のパスキーは、クラウド上で認証情報を同期する特定の仕組みを指し、異なるデバイス間でもスムーズにログインできるのが特徴です。
広義のパスキーはパスワードレス認証全般を指す言葉であるため、狭義のパスキーは広義のパスキーのうちの具体的な技術のひとつを指す言葉といえます。
パスキーに用いられているFIDO2とは？
FIDO2とは、WebAuthnとCTAP（Client to Authenticator Protocol）の2つの主要な規格から構成されている、パスワードレス認証の国際標準規格のことです。オンラインサービスへの安全なログインを実現するために、「FIDOアライアンス」という団体が策定しました。FIDO2は生体認証やセキュリティキーなど、パスワード以外の方法で認証を行う仕組みで構成されています。
FIDO認証とパスキーの違い
FIDO認証は、パスワードレス認証全般を指す広義の概念です。パスキーはFIDO2に準拠した認証方式のひとつであり、クラウド上で認証情報を同期できるのが特徴です。FIDO2に準拠することでパスキーは異なるプラットフォームやデバイス間での互換性が確保されており、さまざまなサービスで利用できるようになっています。
パスキーが導入される背景とは
ランサムウェアなどのサイバー攻撃の脅威が高まるなかでは、従来のパスワード認証の脆弱性が問題視されており、より安全な認証方式としてパスキーの導入が進んでいます。パスワードの使い回しや推測されやすい文字列で設定していると、情報漏えいや不正ログインなどの深刻な被害をもたらす可能性があります。
VPN機器やリモートデスクトップを狙った攻撃も増加しており、パスワードの脆弱性がサイバー攻撃の温床となっているため、今後もパスキーはさらに普及していくでしょう。
パスキーの仕組み
パスキーでは、「FIDO2」と「WebAuthn」という2つの技術が活用されています。
FIDO2は、生体認証に公開鍵暗号方式を用いるパスワードレス認証技術です。公開鍵暗号方式とは、公開鍵と秘密鍵の２つの鍵を用いて認証を行う方式です。公開鍵は誰でも利用できますが、秘密鍵は利用者本人しか利用できません。FIDO2では、利用者がデバイスに指紋や顔などの秘密鍵を保存し、サービス提供者側に公開鍵を登録します。
ログイン時には、サービス提供者側が公開鍵を用いて利用者本人であることを確認し、利用者はデバイスに保存された秘密鍵を使って認証を行います。FIDO2を活用することでパスワード設定が必要なくなり、生体認証だけで認証が行えるため、セキュリティと利便性の向上が期待できるでしょう。
WebAuthnとは、FIDO2認証をWebブラウザ経由で利用する仕組みのことで、WebサービスやアプリにFIDO2認証機能を組み込むためのAPI（Application Programming Interface）です。WebAuthnによって、WebサービスやアプリでもFIDO2認証を簡単に利用できるようになります。
パスキーのメリットとは
パスキーはパスワード認証と比べて、具体的にどのようなメリットがあるのでしょうか。パスキーの主なメリットを３つ紹介します。
端末・各サービスのセキュリティを強化できる
パスキーはフィッシング攻撃に強く、端末・各サービスのセキュリティ対策の強化につながります。パスキーは端末内で認証が行われるローカル認証のため、フィッシング攻撃によって認証情報が盗まれるリスクがありません。また、生体情報を用いた認証は、パスワードと比べて推測や解読が非常に難しいため、情報漏えいや不正アクセスを防ぐ効果が期待できます。
パスワード管理をする手間が省ける
パスキーを利用すればパスワードを管理する必要がありません。そのため、パスワードを忘れたときの再設定の手間がなくなります。また、ログイン時にパスワードを入力する手間も省けるため、ストレスなくスムーズにログインできるでしょう。
複雑なパスワードを考えたり、定期的に変更したりする必要もなくなり、パスワード管理にかかる負担の軽減につながります。
誰でも簡単に設定・認証できる
パスキーは、ITツールやデジタル技術に不慣れな人でも簡単に設定・認証できるのが特長です。指紋や顔などの生体情報をデバイスに登録するだけで設定は完了し、認証時も生体情報をかざすだけで済みます。
パスキーは設定から認証まで専門的な知識や複雑な操作が必要ないため、多くのユーザーにとって利用しやすい認証方式といえるでしょう。
パスキーの課題点
パスキーは、パスワード認証よりもセキュリティ面や利便性の面でメリットがありますが、課題点もいくつか抱えています。ここでは、パスキーが抱える３つの課題をみていきましょう。
パスキー対応していないと利用できない
安全で便利な認証方式なパスキーを利用するには、サービスやアプリがパスキーに対応している必要があります。未対応の場合は、従来のパスワード認証を利用しなければなりません。そのため、パスキーの普及が進むまでは、パスワードとパスキーを併用する状況が続くことになるでしょう。
各アカウントごとに設定する必要がある
パスキーは利便性が高い一方で、アカウントごとに設定が必要な点が課題に挙げられます。パスキーはすべてのアカウントで一括設定できないため、利用するサービスやアプリごとに登録しなければなりません。そのため、多数のサービスを利用している場合は、初期設定に手間がかかるケースがあるでしょう。
他社デバイスに機種変更したらパスキーを同期できない
パスキーは、iOSからAndroidなど、異なるOSのデバイスに機種変更した場合は同期できない可能性があります。クラウド上で設定したパスキーであれば機種変更時でも同期できますが、デバイス本体に設定した生体情報は引き継げません。利用しているサービスによって異なるため、機種変更時は確認しましょう。
パスキーを提供しているサービス・OSは？
パスキーは近年注目されているセキュリティ技術で、多くのサービスやOSで対応が進められています。ここでは、パスキーを提供している主なサービスやデバイスを紹介します。
NTTドコモ
NTTドコモは、2023年4月5日よりdアカウントのログインに「パスキー認証」を導入しました。dアカウントでは、「dアカウント設定アプリ」に自身のスマートフォンに設定した生体情報と紐づけることでパスキー認証を利用できます。
Microsoft
Microsoftは、WindowsデバイスやMicrosoftアカウントなど、幅広いサービスでパスキー認証に対応しています。Windowsでは、「Windows Hello」の生体認証機能やセキュリティキーを利用して、パスワードレスで安全にサインイン可能です。
Microsoftアカウントではパスキーを有効にすることで、パスワード漏えいのリスクを軽減し、アカウントのセキュリティ対策を強化して管理できます。なお、WindowsのOSだけでなく、macOS・iOS・Androidでも利用可能です。
参考：パスキーを使用したサインイン｜Microsoft サポート
Amazon
Amazonでは、2023年10月にWebブラウザやiOSアプリ（2024年からAndroidでも利用可能）でのログインにパスキーの導入を発表しました。顔認証、指紋認証またはデバイスのPINを使用して、パスワードなしでAmazonアカウントにサインインできます。Amazonのパスキーは、アカウントサービスにて簡単に設定可能です。
Yahoo！JAPAN
Yahoo! JAPANは、2023年3月より「Yahoo! JAPAN ID」での認証にパスキーを導入しました。対応OSはAndroid、iOS、iPadOS、macOSです。1回の設定で複数の端末から生体認証を利用でき、端末買い替え時も再設定不要です。
参考：【Android/iOS/iPadOS】生体認証（指紋・顔など）を利用したログイン｜Yahoo! JAPAN IDに関するヘルプ
iPhone（Apple）
Appleでは、iOS 16以降のiPhoneでパスキーがサポートされています。iCloudキーチェーンに保存されたパスキーは、iPhone、iPad、MacなどのAppleデバイス間で同期可能です。iPhoneに登録された「Face ID」や「Touch ID」による生体認証で、Appleのサービスにログインできます。なお、iCloudキーチェーンと2ファクタ認証もオンになっている必要があります。
iCloudキーチェーンの設定
- 「設定」＞「[自分の名前]」＞「iCloud」＞「パスワードとキーチェーン」を選択
- 「iCloudキーチェーン」をオンにし、画面に表示される指示に従う
Apple IDの2ファクタ認証の設定
- 「設定」＞「[自分の名前]」＞「サインインとセキュリティ」を選択
- 「2ファクタ設定をオンにする」をタップしてから、「続ける」をタップ
- 確認コードの受け取りに使用する電話番号を入力して「次へ」をタップ
- 送信された確認コードをiPhoneに入力
パスキーの作成と保存
パスキーの作成と保存の手順は、アプリやWebサイト、ブラウザによって異なりますが、通常は以下のような手順で行われます。
- パスキーに対応しているWebサイトやアプリにログインする
- アカウントのパスキーを保存するオプションが表示されたら、「続ける」をタップ
作成したパスキーは、iPhoneの「設定」＞「パスワード」に保存されます。同じアプリやWebサイトにパスキーとパスワードを保存することができ、どちらも「設定」＞「パスワード」の同じアカウントで確認できます。
参考：iPhoneでパスキーを使ってアプリやWebサイトにサインインする｜iPhoneユーザガイド
Android（Google）
Android端末の場合は、Googleアカウントのパスキー設定を行うことでパスキーを使用できます。なお、Android 9.0以降を搭載し、生体認証機能（指紋認証や顔認証）を備えたデバイスである必要があります。
パスキーの作成
- https://myaccount.google.com/signinoptions/passkeys に移動（Googleアカウントにログイン）
- [パスキーを作成する] ＞ [続行] をタップ
※デバイスのロックを解除する必要があります
パスキーの設定
- パスキーに対応しているWebサイトやアプリにログインする
- パスキーを作成するか確認されるため、画面の指示に従い進める
- パスキーが保存される
参考：パスワードの代わりにパスキーでログインする｜Googleアカウント ヘルプ
パスキー対応チャットツール「elgana」
ビジネスチャット「elgana」は、2023年11月30日に行われたアップデートにより、パスキー認証機能が実装されました。現在は、Webアプリ（ブラウザ版）のログイン方法をパスキー認証に変更可能です（なお、利用できるのは、ベースプラン以上のみです）。
パスキー認証にすることで、認証用端末の「所有要素」および「生体要素」の多要素認証が実現できます。また、複雑なパスワードの管理・入力から解放されることにより、利便性が向上するでしょう。パスキー認証は、管理者によりワークスペース単位で有効・無効の選択が可能です。現状、パスキー登録できる端末は１ユーザーにつき１台のみです。今後のアップデートで、複数端末登録に対応予定です。
パスキー認証でセキュリティ対策を強化しよう
パスキーは、生体認証を用いた新しい認証方式で、パスワードが抱える脆弱性の課題を解決できるとして注目されています。パスキーで登録する生体情報を盗むのは非常に困難なため、不正ログインやフィッシング攻撃などのリスクを低減できます。
現在、パスキーを導入しているサービスが拡大しています。今後さらに普及していくことが予想されるため、この記事を参考にパスキーについての理解を深めておきましょう。
ビジネスチャット「elgana」は、パスキー認証に対応したコミュニケーションツールです。会社の利用するコミュニケーションツールは、パスワード流失による情報漏えいやサイバー攻撃などのリスクに晒されています。しかし、「elgana」であれば、高いセキュリティー対策を実現できます。実際の登録・利用方法は、ヘルプデスクにてサポートさせていただきますので、お気軽にご相談ください。
