Passkey

パスキーは、認証技術の一つで、ユーザー名やパスワードを使わずに、ユーザーをWebサイトへログインさせます。その代わり、パスキーは、すでに認証済みの個人用デバイスと、一対の暗号鍵を使ってユーザーをログインさせます。パスキーでは、ユーザーがデバイスのロック解除に使う指紋、顔認証、またはPINと同じものを使うため、Webサイトへのログインをより速く、簡単で、安全にできます。

アカウント用のパスキーを初めて作成すると、デバイスは2つの暗号鍵を生成します。1つはデバイスに保存される秘密鍵で、もう1つは、そのアカウントに対応するWebサイトまたはサービスのサーバーに保存される公開鍵です。サインインしようとすると、サーバーとユーザーのデバイスは鍵を交換しません。その代わり、サーバーはユーザーのデバイスに数学的なチャレンジを送り、デバイスはアルゴリズムと秘密鍵を組み合わせてそれを解きます。デバイスはその解答をサーバーに送り返し、サーバーは公開鍵を使って解答を検証します。サーバーもユーザーのデバイスも、決して両方の鍵を持つことはありません。

ユーザー名とパスワードをログインの手順からなくすことで、パスキーはいくつかの種類のセキュリティ問題を防げます。何よりもまず、盗まれるユーザー名やパスワードがありません。推測されやすい弱いパスワードも、フィッシング詐欺に悪用される危険のある認証情報もありません。Webサイトのサーバーが侵害されても、サーバーが知ることができるのは公開鍵だけです。ユーザーのデバイスが盗まれた場合でも、パスキーでログインするには、アクセスを許可する前に生体認証スキャンまたはPINの入力が必要です。

NOTE: パスキーを使ってWebサイトやサービスにログインするには、デバイスのオペレーティングシステムとWebブラウザーが対応している必要があります。パスキーの標準規格は、Apple、Google、Microsoft、FIDO Alliance、WWW Consortiumの協力によるものです。このグループは協力して、ソフトウェアやハードウェアデバイスにパスキーの対応を組み込もうとしています。