パスキーは、 なぜ破られにくいのか。

パスワードは、守る手間のわりに破られやすい。

パスキーは「鍵は手元、錠前はサイト」。

サイトから錠前が漏れても、鍵は作れず、サインインに使えない。

登録で錠前を渡し、毎回の問いに署名して返す。

1. 1

   登録で鍵を作る

   鍵のペアを作り、公開鍵（錠前）を登録する。

2. 2

   端末で確かめる

   顔・指紋・PINで本人か確かめる。

3. 3

   毎回、署名して返す

   サイトの問い（チャレンジ）に、秘密鍵で署名して返す。

顔・指紋・PINは端末の中で確かめる。秘密鍵はサイトへ送らない。

問いを使い捨てにするサイトなら、同じ応答の再送は受け付けられない

3つの攻撃すべてに強いのは、パスキーだけ。

しかも操作は、顔・指紋・PINで確かめるだけ。

whatarepasskeys.infoの比較。メールのリンク方式は全行△

偽サイトには、パスキーが応答しない。

中継型フィッシング：偽サイトが入力やコードをその場で本物へ送る手口

SMSのコードは、中継型フィッシングでその場で使われる。

別の経路：偽の画面で同期用のPINを盗む手口（VaultJacking）

同期パスキーは戻せる。デバイス固定は外へ出ない。

同期は2026年、VaultJackingとPass-ta-keyの標的になった。

職場では、会社がデバイス固定を指定することがある

対応するサイトなら、設定から作って使える。

1. 1

   作成を選ぶ

   サイトやアプリの設定で、パスキーの作成を選ぶ。

2. 2

   端末で確かめる

   顔・指紋・PINで確かめると、保存される。

3. 3

   次から選んで確かめる

   サインイン画面で選び、端末で確かめる。

作った後もパスワードが残ることがある。残ったパスワードは偽サイトで盗まれうる。

QRコードを読み取り、別の端末のパスキーで確かめることもできる

4件とも、パスキーの暗号は破っていない。

研究3件と、パスキーを口実にした攻撃の報告1件。公表日順

名前が似たPass-ta-keyとPass-the-Passkeyは別の研究

端末に入り込むか、記録を再送するか。

Pass-ta-keyは開示後、GoogleやeBayなどが修正した

設定や同期を口実に、PINやサインインを差し出させる。

PhishU（5月20日）とMicrosoft（9月9日）の報告

錠前は無事。狙われたのは、その周り。

暗号と照合は破られていない。ただし2件では、同期から鍵が持ち出された。

立場ごとに、周りを固める。

各発表元の推奨をまとめた

修正の状況は発表元で確認（2026年9月30日時点）