スマートフォンでアカウントに入るとき、長いパスワードを打たずに顔認証や指紋認証でログインできることがあります。「顔や指紋がそのままサイトへ送られている」と思うかもしれませんが、一般的なパスキーの仕組みは違います。本人確認の役割を二つに分けると、なぜ便利なのかが見えてきます。
パスワードは秘密の文字列を共有する
従来のパスワード方式では、利用者はログイン先と関係づけられた秘密の文字列を入力します。サイト側では通常、入力された値を適切な方法で検証して本人を確認します。安全な設計では元のパスワードをそのまま保存しない工夫がされていますが、それでも利用者が文字列を入力する場面には注意が必要です。
偽物のログイン画面を本物と勘違いし、秘密の文字列を入力してしまうと、相手に知られる危険があります。覚えやすい同じパスワードを複数のサイトで使い回している場合、一つの流出が別のアカウントへ波及する問題もあります。
パスキーは、本人が毎回秘密の文字列を入力して相手に渡す方式ではありません。利用者側で保持する秘密鍵と、サービス側へ登録する公開鍵という組み合わせを使います。公開鍵を見ただけで秘密鍵を簡単に作ることはできないという性質を利用します。
顔認証は秘密鍵を使うための鍵
パスキーでログインするとき、端末の画面ロック解除を求められることがあります。この操作は、端末側にある秘密鍵を使ってよいかを確かめるためのものです。指紋や顔のデータそのものを、毎回ログイン先のウェブサイトへ送るのが基本ではありません。
Googleの開発者向け説明では、パスキーで使う生体情報は利用者のデバイス内にとどまるとされています。もちろん、利用するOSやパスキー管理サービスの構成により、保存や同期の方法には違いがあります。すべてのサービスの実装が同じと考えず、対象サービスの説明も確認しましょう。
「指紋がパスワードの代わりになった」という表現は分かりやすいものの、技術的には少し省略があります。指紋は端末のロック解除に使い、ウェブサイトに対しては暗号学的な方法で登録済みの秘密鍵を持つことを示すのです。
偽サイトに強いのは、利用先と結びつくから
フィッシングでは、本物によく似た画面へ利用者を誘導し、パスワードを入力させることがあります。パスキーには、登録したサイトやアプリの識別情報と結びつけて利用する仕組みがあります。ブラウザやOSが登録先を確認するため、異なる偽サイトで同じパスキーを使って認証させる攻撃に強い設計です。
ただし、パスキーを使えばすべての詐欺や不正アクセスがなくなるわけではありません。端末自体が不正に操作される、アカウントの復旧手続きを悪用される、ログイン後にだまされるなど、別の問題は残ります。守れる範囲を区別する必要があります。
安全性を考えるときには「何から守るのか」を具体的にします。パスワードの使い回しや偽の入力画面から守る効果と、端末をなくしたときの復旧方法は、別々に検討すべき問題です。
スマートフォンをなくしたら終わり？
パスキーを保存する仕組みによっては、対応した管理サービスを通じて複数の端末で利用できる場合があります。また、手元のスマートフォンを使い、近くの別のパソコンでログインできる方式もあります。ただし利用するサービス、OS、端末、設定によってできることは変わります。
端末をなくしたときに困らないよう、あらかじめアカウントの復旧方法や追加のログイン手段を確認しておくことが大切です。ログイン方法を切り替えるときに、パスワードが自動的に削除されるとは限りません。残っている方法も管理対象になります。
家族や友達と端末を共有している場合は、画面ロックを解除できる人がどのアカウントを使えるかにも注意します。パスキーは技術的に強い仕組みであっても、利用者の端末管理が不要になるわけではありません。
「簡単」と「安全」を別々に確かめる
パスキーには、長い文字列を覚える手間を減らせる便利さと、偽サイトへの入力を防ぎやすい安全上の利点があります。しかし、導入を決めるときは、対応しているサービスか、複数端末でどう使うか、紛失時の復旧手段があるかという条件を確認する必要があります。
例えば家族の端末を借りてログインしたいとき、通常のパスワードと同じ操作はできない場合があります。一方、端末が手元にあり画面ロックを解除できるなら、短い操作でログインできる場合があります。同じ人でも利用状況によって便利さは変わります。
仕組みを知るうえで一番大切なのは、端末内での本人確認と、ウェブサイトへの本人証明を分けることです。二つを区別できれば、「指紋がサイトに保存される」という誤解を避け、どこに秘密が残り、何を安全にするのか説明できます。
ログインの安全性を条件で比べる
例えば、自分の端末では簡単にログインできるが、初めて使う共有パソコンでは面倒だという場面を考えます。パスワード方式では文字列を入力する機会が増え、パスキーでは対応する端末や認証方法の条件を確かめる必要があります。「どちらが便利か」の答えは利用環境によって違います。
安全性を比べるときには、偽サイトへ入力してしまう事故、端末紛失、アカウント復旧の三つを分けてみてください。パスキーが偽のログイン画面に強いとしても、端末をなくした際の復旧を準備しなくてよいという意味ではありません。別の失敗には別の対策が必要です。
また、パスキーを設定したサービスでも、古いログイン方法が残ることがあります。どの方法が有効になっているかをアカウントの設定で確認すると、「パスキーを作ったからすべて安全」という思い込みを防げます。導入した技術の名称だけでなく、実際の運用条件を見ることが大切です。
