パスキーとは｜パスワードなしでログインできる仕組みをやさしく見る

パスキーは、秘密の鍵を使って作った応答をサイトに確かめてもらい、ログインする仕組みです。 指紋・顔認証・PINは、その鍵を使うための手元の確認に使います。サイトへ指紋や秘密の鍵を渡すこととは違います。

ユイ

スマホでパスキーを保存しますか、と出ました。パスワードと何が違うのでしょう

ピコ

パスキーは合言葉を入力する入口ではなく、端末にある鍵で開く入口として見ると分かりやすいよ

マコト

鍵の仕組みと本人確認を分けて、ログインの流れを見よう

「パスワードなし」でも、確認を省くわけではありません。何を使って確かめるかが変わります。第51話「2段階認証はなぜ安全を足す？」の確認ゲートから、鍵付き通路へ進みます。

パスキーとは何を使うログインの仕組みか

利用者は指紋、顔認証、端末のPINなどで本人確認を行い、端末やアカウントに保存された鍵がサイトとの確認に使われます。

ログイン全体の考え方は ログインの仕組み とつながります。パスキーは、本人であることを確認し、サイトへ安全に入るための方法の一つです。

たとえでは、入口で合言葉を言うのではなく、自分の端末にある鍵でゲートを開く形です。実際には公開鍵暗号の考え方が使われ、秘密の鍵をそのままサイトに送るわけではありません。

鍵を送らずに、サイトは何を確かめる？

パスキーを登録すると、対になる「秘密鍵」と「公開鍵」が作られます。秘密鍵は利用者側で管理し、サイトには公開鍵を登録します。公開鍵は、秘密鍵を使って作った応答が正しいかを確かめるための情報です。秘密鍵のコピーではありません。

次にログインするときは、おおむね次のやりとりが行われます。

1. サイトが、今回の確認用のデータを用意します。「チャレンジ」と呼ばれるものです。
2. 利用者が指紋・顔認証・PINなどで、パスキーを使う操作を承認します。
3. 利用者側で、確認用データなどに対して秘密鍵を使った「電子署名」を作り、サイトへ返します。
4. サイトが登録済みの公開鍵で署名を検証し、今回のデータや接続先なども確かめます。

電子署名は、手書きの名前を画像にしたものではありません。その鍵を使って、今回のデータに応答したことを確かめるための暗号技術です。確認用データを毎回変えるので、以前の返事をそのまま送り直しても、今回の確認には使えません。

ラボの模型で考えるなら、手元の道具で、毎回違う確認カードに印を付け、受付へ返す流れです。道具そのものを受付へ渡す必要はありません。ただし、本物の署名は印影のコピーではなく、データに応じて計算するものです。

「パスワード不要なのにPINを求められた」という場合も、役割を分けると分かります。端末などのPINは、手元の鍵を使うための確認です。サイトごとに覚えて入力するパスワードが戻ってきたわけではありません。

また、ここで確かめるのは、そのアカウントに登録した鍵を使えることです。パスキーだけで、利用者の実名や住所まで証明するわけではありません。

セキュリティゲートで鍵を見せる

ピコルート・ラボの安全確認所には、合言葉の入口と鍵付きゲートがあります。ユイが合言葉を覚える代わりに、スマホの中の鍵を使い、本人確認でゲートを開きます。

ユイ

顔や指紋そのものがサイトへ送られるわけではないんですね

マコト

本人確認は端末側で行い、サイトとは鍵を使った確認をする、と分けると見えやすい

このたとえで大切なのは、パスキーが「確認をなくす」仕組みではない点です。入力するパスワードを減らしつつ、端末のロック解除やアカウントの管理を前提にします。

パスワード・2段階認証・パスキーの違い

三つの入口を比べます。2段階認証は、ここではパスワードに追加確認を足す例として見てください。

2段階認証は 2段階認証とは で詳しく見られます。パスキーは、パスワードを覚えて入力する負担を減らし、サイトごとの鍵を使って確かめます。

パスキーがフィッシングに強い理由

フィッシングでは、偽サイトが本物そっくりの画面を用意し、利用者にパスワードを入力させようとします。パスワードは文字列なので、利用者が偽サイトに入力してしまうと盗まれる危険があります。

パスキーでは、鍵がサイトのドメインと結びついて使われます。偽サイトは本物サイト用の鍵を使った確認を通しにくいため、パスワード入力型よりフィッシングに強くしやすい特徴があります。偽の入口の見分け方は フィッシングとは と合わせて読むと理解が深まります。

ただし、端末やアカウント管理が不要になるわけではありません。端末のロック、復旧用の連絡先、同期設定を確認します。

使うときの注意点と復旧

「サイトへ鍵を送らない」と「端末の外へ一切出ない」は違う

パスキーには、クラウドを介して自分の複数端末へ同期するものと、一つの端末やセキュリティキーにとどめるものがあります。同期型では鍵を保護したうえで別の端末でも使えるようにするため、「秘密鍵はどんな形でも端末の外へ出ない」と説明すると不正確です。

ログインするサイトと、鍵を保存・同期するサービスは役割が違います。秘密鍵をログイン先へ渡さなくても、保存先のアカウントは守る必要があります。どこに保存したか分からないまま端末を初期化したり、古いパスキーを削除したりしないようにしましょう。

「パスキーなら安全面の確認は終わり」ではなく、復旧や端末管理まで含めてログインの設計を見ます。暗号の入口は 暗号化とは ともつながります。

家族共有の端末や会社の共用端末では、どのアカウントにパスキーを保存しているかを特に確認します。便利さだけで登録すると、端末を返却したときやアカウントを切り替えたときにログインできなくなる場合があります。登録時には、別端末でのログイン方法、バックアップ手段、不要になったパスキーの削除手順も一緒に見ておくと安心です。

自分の端末で使う前に、保存先と復旧方法を確認する

使いたいサービスを一つ選び、公式の案内で次の点を確かめます。

• どの端末やアカウントに保存されるか
• 端末をなくしたときの復旧方法
• 複数端末で使えるか
• 共有端末に保存していないか
• パスキー以外のログイン手段が残るか

まずは「保存先」と「使えなくなったときの入口」が分かれば一歩進めます。確認のために今あるログイン手段を削除する必要はありません。鍵の確認後にログイン状態がどう続くのか気になったら、ログインの仕組みへ進めます。

ミニクイズで安全なログインの理解を広げる

Q1. パスキーは何を使ってログインしますか？

A. 端末などに保存された鍵と、指紋・顔認証・PINなどの本人確認を使います。

Q2. 生体情報がそのままサイトへ送られますか？

A. 通常は端末側の本人確認に使われ、サイトへそのまま送るものとして考えません。

Q3. パスキーで注意することは？

A. 端末紛失時の復旧、同期設定、共有端末への保存、代替ログイン方法を確認します。

ミニワーク：どの入口がどの確認？

次の入口を、パスワード、2段階認証、パスキーのどれに近いか分けてみましょう。

1. 覚えた文字列を入力する
2. パスワードの後にSMSコードを入力する
3. スマホの画面ロックを解除し、端末内の鍵を使ってログインする
4. 偽サイトに文字列を入力してしまう危険が大きい

答えの例は、1がパスワード、2が2段階認証、3がパスキー、4はパスワード型で特に注意したい場面です。