パスキーとは

パスキーは、パスワードの代わりに使うログインの方法です。サイトにログインするとき、文字を打ち込む代わりに、スマートフォンやパソコンのロックを解くのと同じ操作（指紋・顔・PIN）をします。裏では、端末の中にしまわれた「秘密鍵」と、サイトに預けた「公開鍵」という 2 本の鍵の組で、本人かどうかを確かめています。

小さな事業では、メール、会計ソフト、予約の受付、オンライン講座の配信サービスなど、1 人でいくつものアカウントを持つことがよくあります。パスキーを使うと、パスワードを覚えて使い分ける手間を減らしながら、乗っ取りの危険も下げられます。仕組みを知っておくと、サービスに「パスキーを作成しますか」と聞かれたときに、落ち着いて選べます。

パスキーはどう動くのか

パスキーは、公開鍵暗号（2 本で 1 組の鍵を使う暗号の技術）を使っています。仕組みは、FIDO Alliance（パスワードに頼らないログインを広める業界団体）と W3C（Web の標準を決める団体）がまとめた標準に沿っています。ブラウザーから使うための決まりは、W3C の Web Authentication（WebAuthn）です。

2 本の鍵はどんな役割を持つのか

秘密鍵は自分だけが持つ印鑑、公開鍵はその印影を確かめるための見本のようなものです。ただし本物の印鑑とちがい、公開鍵から秘密鍵を割り出すことは、計算のうえで事実上できないように作られています。

鍵	置き場所	役割
秘密鍵	自分の端末や、パスワード管理の仕組みの中	ログインのたびに「署名」を作る
公開鍵	サイトのサーバー	届いた署名が本物かを確かめる

サイトは公開鍵しか持たないので、仮にサイトのデータが漏れても、公開鍵だけではログインに使えません。また、鍵の組はサイトごとに別々に作られます。

ログインのときに何が起きるのか

1. パスキーを作るとき、端末がそのサイト専用の鍵の組を作り、公開鍵だけをサイトに送ります。
2. ログインするとき、サイトは毎回ちがうランダムな値（チャレンジ）を送ります。
3. 端末は、指紋・顔・PIN で、操作しているのが持ち主かを確かめます。
4. 確かめられたら、端末が秘密鍵でその値に署名して、サイトに返します。
5. サイトは預かっている公開鍵で署名を確かめ、合っていればログインが終わります。

ログインのとき、秘密鍵そのものはサイトに送られません。毎回ちがう値に署名するので、途中の通信を盗み見て署名をまねても、次のログインには使えません。

なぜフィッシングに強いのか

フィッシングは、本物そっくりの偽サイトに誘い、パスワードやコードを入力させる手口です。たとえば、オンライン講座の受講生に「お支払い情報の確認」というメールを送り、example-school.jp に似せた example-schooI.jp（最後の l が大文字の I）へ案内する、といったものです。見た目だけでは、本物と区別しにくいことがあります。

パスキーには、作ったときのサイトのドメイン（example-school.jp のような Web の住所）が結び付いています。ログインのとき、ブラウザーやアプリは、いま開いているページのドメインを確かめ、そのドメイン用のパスキーしか使いません。偽のドメインには使えるパスキーがないので、そもそも候補に出てきません。人が見分けなくても守られるところが、パスワードとの大きなちがいです。

	パスワード	パスキー
覚えること	必要	不要（端末のロックを解く操作だけ）
使い回し	起こりやすい	サイトごとに別の鍵が自動で作られる
サイトから漏れたとき	漏れたパスワードで入られるおそれがある	漏れるのは公開鍵だけで、それではログインできない
偽サイトでは	気づかなければ入力してしまう	別のドメインでは使われない

ただし、アカウントにパスワードやメールのコードなど、ほかのログイン方法が残っていれば、偽サイトはそちらを入力させようとします。パスキーを作ったあとも、身に覚えのないメールのリンクからログインしない習慣は役に立ちます。

端末をまたいで使うにはどうするのか

パスキーには、端末どうしで同期されるものと、1 つの機器から出ないものがあります。FIDO Alliance の説明では、どちらもパスキーと呼んでいます。

同期するパスキー

スマートフォンやパソコンで作るパスキーは、多くの場合、パスワード管理の仕組みに保存され、同じアカウントでログインしている端末どうしで同期されます。たとえば Apple の端末では iCloud キーチェーン、Android や Chrome では Google パスワード マネージャーに入ります。パスキーを扱えるパスワード管理アプリに保存することもできます。Apple は、iCloud キーチェーンのパスキーはエンドツーエンドで暗号化（送る側と受け取る側の端末だけが読める形に暗号化）されていると説明しています。

端末から出ないパスキー

USB でつないだり、NFC（かざして通信する技術）で読ませたりするセキュリティキーに入ったパスキーは、その機器の外に出ません。複製されにくいぶん、なくすとそのパスキーは使えなくなります。より高い安全性が求められる仕事などで使われます。

	同期するパスキー	端末から出ないパスキー
置き場所	パスワード管理の仕組み（クラウドと各端末）	1 つの端末やセキュリティキーの中
機種を変えたとき	同じアカウントでログインすれば使える	新しい端末で作り直す
なくしたとき	ほかの端末や、アカウントの復旧で戻せる	ほかのログイン方法が必要

手元にない端末でログインするには

友人のパソコンなど、パスキーが入っていない端末でも、ログインできることがあります。ログインの画面で「近くのデバイスからのパスキー」などを選ぶと QR コードが出るので、パスキーが入ったスマートフォンで読み取り、スマートフォンの側で指紋や顔の確認をします。このとき、2 つの端末が近くにあることを Bluetooth で確かめるので、スマートフォンの Bluetooth をオンにしておきます。

端末をなくしたらどうなるのか

まず、拾った人がすぐにパスキーを使えるわけではありません。パスキーを使うには、その端末のロックを解く指紋・顔・PIN が必要だからです。そのうえで、パスキーの種類によって次のように変わります。

• 同期するパスキー: ほかの端末に同じパスキーが残っていれば、そのまま使えます。すべての端末をなくしても、新しい端末で Apple や Google などのアカウントにログインし、以前の端末のパスコードなど決められた確認を済ませれば、戻せる仕組みになっています。
• 端末から出ないパスキー: その機器がないと使えません。予備のセキュリティキーや、ほかのログイン方法で入ることになります。

なくしたと気づいたら、次の順に対処します。

1. 同期するパスキーなら、Apple や Google などのアカウントから、なくした端末を外します。手順はそれぞれの案内に従います。
2. 端末から出ないパスキーなら、各サイトのアカウント設定で、その端末のパスキーを消します。サイトに預けた公開鍵を消せば、その秘密鍵ではもうログインできません。
3. 新しい端末やセキュリティキーで、必要なパスキーを作り直します。

使い始めるときに気をつけることは何か

• 家族や同僚と共用している端末では作らない。端末のロックを解ける人なら、そのパスキーでログインできてしまいます。
• 端末に画面のロック（指紋・顔・PIN）を設定しておく。パスキーの安全は、端末のロックに支えられています。
• 1 つのアカウントに、パスキー以外のログイン方法か、2 つ目のパスキーを用意しておく。端末をなくしたときの入口になります。
• 作ったパスキーは、端末のパスワード管理の画面（iPhone なら「パスワード」アプリ）で確かめたり、消したりできる。

まとめ

パスキーは、端末の秘密鍵とサイトの公開鍵の組で本人を確かめる、パスワードの代わりのログイン方法です。打ち込む秘密がなく、鍵がサイトのドメインに結び付いているので、フィッシングに強くなります。同期するパスキーなら、機種を変えても使い続けられます。端末にロックを設定し、もう 1 つのログイン方法を残しておけば、なくしたときも落ち着いて対処できます。パスキーとログインの 2 つ目の確認との関係は、「二段階認証とは」で説明しています。