最終更新日：
パスキーとは、パスワードの代わりに、端末に保存した鍵と指紋や顔などの本人の確認を使ってログインする仕組みです。
パスキーは、FIDO Alliance と W3C が定めた仕組み（FIDO2・WebAuthn）にもとづく認証の方法です。サービスに登録すると、端末の中に秘密鍵が、サービスの側に公開鍵が保存されます。ログインのときは、端末の指紋や顔の認証、画面のロックの解除で本人を確かめ、秘密鍵で署名した応答をサービスに返します。
秘密鍵は端末から外に出ず、サービスの側には公開鍵しか残らないため、サービスから情報が漏れてもログインに使われにくくなります。登録したサービスのドメインでしか使えないため、偽のサイトに入力させるフィッシングにも強いとされています。
端末をなくしたときや買い替えたときの扱いを確かめておきます。パスキーをクラウドで同期して複数の端末で使える仕組みもあります。業務のシステムに取り入れる場合は、対応する端末とブラウザ、パスキーを使えないときの代わりの手段を決めておきます。
関連する用語
- 多要素認証（MFA）パスワードなどの知っている情報に、持っているものや体の特徴を組み合わせて本人を確かめる方法です。
- 認証と認可利用者が誰かを確かめること（認証）と、その人に何を許すかを決めること（認可）です。
- フィッシング実在する会社やサービスを装ったメールやSMSで偽のサイトに誘い、IDやパスワードなどを盗む手口です。
- パスワードリスト攻撃ほかのサービスから漏れたIDとパスワードの組を使って、別のサービスへのログインを試す攻撃です。
- IdP（IDプロバイダー）利用者の本人の確認を一か所で行い、その結果をほかのシステムやサービスに渡す仕組みです。