Passkey Authentication

パスキーとは何ですか？従来のパスワードと根本的にどう違いますか？

従来のパスワードは本質的に「あなたが知っているもの」であり、記憶し、入力し、サーバーに送って照合してもらう文字列だ。この設計には構造的な弱点がある。他の誰かも同じ文字列を知っていれば、あなたになりすませてしまう。しかもその文字列は送信中も保存中も傍受や流出の機会があり、フィッシングサイトはまさにこの弱点を利用して、あなたに偽サイトへ直接パスワードを入力させる。パスキーの設計論理は全く異なる。パスワードを「公開鍵・秘密鍵」のペアで置き換える。秘密鍵は生成された瞬間からあなたのデバイスやハードウェアセキュリティキーに鍵をかけられ、二度と外に出ない。ウェブサイト側は公開鍵のみを保管し、たとえその公開鍵が流出しても、ログインを偽造することはできない。公開鍵から秘密鍵を数学的に逆算することはできないからだ。

検証のフローも異なる。従来のパスワードは「あなたが入力し、サーバーに送って照合する」というものだが、パスキーは「デバイスが指紋や顔認証でローカルに本人確認を行い、その後秘密鍵でこのリクエストに署名し、署名結果のみを送信する」というものだ。このプロセス全体を通じて、本当にセンシティブな部分——秘密鍵とあなたの生体情報自体——は最初から最後までデバイス上に留まる。「盗まれて別の場所で使われる」ものが何一つ存在しないのだ。

パスキー認証はなぜ生まれたのですか？何がその採用を推進していますか？

核心的な推進要因は、パスワードシステムの弱点が数十年にわたり攻撃者に体系的に悪用されてきたことだ。フィッシングサイトがパスワードの入力を騙し取る、データベースの流出で大量のパスワードが一度に露出する、同じパスワードが複数のサイトで使い回されることで1つのサイトの侵害が他のサイトのアカウントにも波及する（いわゆるクレデンシャルスタッフィング攻撃）。これらの問題は「パスワードをより複雑にする」ことでは解決できない。パスワードという仕組みそのものの構造的欠陥だからだ。「固定された文字列であり、送信と照合が必要」という検証方式である限り、傍受や流出のリスクを完全に回避することはできない。

これを受けてFIDOアライアンスはFIDO2標準を策定した。その中のWebAuthnはブラウザとウェブサイトが通信するための標準化されたインターフェースであり、異なるプラットフォームや異なるブラウザが同じ仕組みでパスキーをサポートできるようにしている。Apple、Google、Microsoftは2022年に共同でこの標準への支援拡大を発表し、デバイスを跨いだパスワードレスログインの普及を加速させた。この推進力はセキュリティ面だけでなく、ユーザー体験にも及ぶ。パスワードを覚える必要がない、定期的に変更する必要がない、忘れた後のリセットプロセスを経る必要がないといった利便性が、企業と一般ユーザー双方からのパスキー普及への支持を得ている。

パスキーは具体的にどのように機能し、1回のログインや承認の完全な流れはどのようなものですか？

初回登録時、あなたのデバイス（または外部のハードウェアセキュリティキー）は鍵のペアを生成する。秘密鍵はデバイスのローカルな安全隔離領域に留まり、公開鍵はウェブサイトやサービスに送信され保管される。その後ログインしたり何らかの動作を承認したりする必要が生じるたびに、ウェブサイトは検証リクエストを発行し、あなたのデバイスは指紋、顔認証、またはデバイスのパスコードで本人確認を求めるプロンプトを表示する。このステップは「このデバイスを使っている人物が本当にあなた本人か」を検証するもので、完全にデバイス上でローカルに完結し、あなたの指紋や顔のデータ自体が送信されることは一切ない。本人確認が完了すると、デバイスはローカルにロックされた秘密鍵でこの検証リクエストに署名し、署名結果のみをウェブサイトに送り返す。ウェブサイトは手元にある公開鍵を使ってこの署名が有効かどうかを検証し、検証が通ればログインまたは承認が完了する。

パスキーにはもう一つ重要な設計がある。認証情報はリクエストを発行した実際のウェブサイトのドメイン（オリジン）に紐づけられる（オリジンバインディング）。これは、たとえ攻撃者が見た目が全く同じ偽のウェブサイトを作っても、あなたのデバイスはその偽ドメインでパスキーを使わないことを意味する。デバイスが照合しているのはドメインそのものであり、ページが本物らしく見えるかどうかではないからだ。これがパスキーがフィッシング攻撃に耐性を持つ技術的な根幹である。現在パスキーには2つの形式がある。1つは同期型で、iCloudキーチェーンやGoogleパスワードマネージャーのようなサービスを通じて自分の複数のデバイス間で同期される。便利だが、アカウント自体のセキュリティにはなお左右される。もう1つはデバイス固定型のハードウェアキー（YubiKeyなど）で、鍵が物理デバイスから一切出ることがなく、より高いセキュリティを持ち、通常は高権限アカウントに使われる。

パスキー認証は私にとってどういう意味があり、特にAIエージェント決済のような場面ではどうですか？

パスキーによる承認を求めるAIエージェント決済製品を利用しているなら、すべての取引の承認は「盗み見られたりキーロガーで記録されたりする可能性のあるパスワードを入力する」ことではなく、「あなたのデバイスがローカルにロックされた秘密鍵で、この特定の取引に署名する」ことを意味する。たとえ誰かがあなたが承認したまさにその瞬間を観察できたとしても、彼らが手に入れるのはコピーしたり再生利用したりできる認証情報ではない。署名結果は通常、その1回の動作にのみ対応し、使用後は失効するよう設計されているからだ。これが、最近のAI決済製品が従来のパスワードやSMS認証コードに固執するのではなく、パスキーを承認メカニズムとして一般的に選んでいる理由でもある。

実務上知っておく価値のある数字がある。FIDOアライアンスの報告によれば、パスキーによるサインイン成功率は93%に達し、パスワードによるサインインの63%を大きく上回り、完了速度も73%速い。企業にとっては、パスキーを導入した後、アカウント認証に関連するヘルプデスクへの問い合わせが81%減少した。これらの数字は、パスキーが単に「より安全」であるだけでなく、実際の利用体験においても従来のパスワードより一般的にスムーズであることをある程度物語っている。これが、ますます多くの製品、特に資金操作に関わるAIエージェントサービスが、この仕組みを承認の関門として優先的に採用している理由でもある。