パスキーのしくみ

パスワードの代わりに何を送る？

対応サービスの設定でパスキーを登録すると、公開鍵がサービスへ渡ります。秘密鍵は端末やパスキー管理機能が守ります。ここでは、登録した後のログインを見ます。

指紋を使えない日は、PINでもよい？

指紋が読み取れず、端末のPINに切り替えてログインする場面を考えます。ここで変わるのは「鍵を使う人を確かめる方法」です。顔や指紋が秘密鍵になるわけではなく、利用者確認ができると端末内のパスキーを使えます。選べる方法は機器や設定で異なります。

次にブラウザやOSが、パスキーを使う相手が登録先と結び付いているかを確認します。見た目が似た別サイトに誘われても、正規サイト用のパスキーを文字として入力して渡すことがありません。サーバにある公開鍵だけから、本人の署名を作ることもできません。

端末が持つ鍵と、顔・指紋・PINによる利用者確認を組み合わせれば、見た目は1回の操作でも複数の要素を使えます。操作回数と認証要素の数は別です。

新しい端末へ替えるときは

パスキーを登録したスマホを買い替えたら、新しい端末でも使えるでしょうか。同期型は、対応する管理機能が鍵を暗号化して、自分の別の端末でも使えるようにします。Googleパスワードマネージャーが一例です。端末固定型は、特定の端末やUSBなどのセキュリティキーから鍵を持ち出さない方式です。対応端末・アカウント・設定によって、移行の扱いが変わります。

まず保存先とサービスの移行方法を確かめます。会社で認められた保存先を使い、端末のロックと同期アカウントを保護します。予備の認証手段や復旧方法も準備し、パスワード等の代替ログインが残るなら、その経路も守ります。

日々の承認では、自分が始めた操作か、どの端末やアプリに許可するのかを見ます。本物のログイン画面でも、他人が始めた端末への承認を頼まれている場合があります。

押さえておきたい用語

パスキー

登録先のサービスとアカウントに結び付く、公開鍵方式の認証資格情報。パスワードの入力に代えて使う。

秘密鍵

ログイン要求への署名を作る側の鍵。パスキー管理機能が保護し、ログイン先のサイトへは渡さない。

公開鍵

登録時にサービスへ渡す、署名を確かめる側の鍵。これだけでは本人としてログインする署名を作れない。

署名

秘密鍵で作り、公開鍵で検証できる応答。確認データや登録先を含むデータを確かめ、過去の応答の使い回しも防ぐ。

利用者確認

鍵を使う人を端末上で確かめること。顔・指紋・PIN等を使い、その情報自体をサイトへ送らない。