定義
パスキーは、FIDOの公開鍵暗号を使うフィッシング耐性のある認証情報です。サービスへ公開鍵を登録し、認証器側で鍵を使った応答を作り、サービス側で検証します。顔・指紋・PINなどは鍵を使うための本人確認に利用され、パスキーそのものではありません。クラウドサービスを介して端末間で利用する同期型と、特定の認証器から出ないデバイス固定型があり、全てのパスキーの秘密鍵が一台から出ないとは一般化できません。機種変更では保存先と新端末での認証を、紛失では利用先の登録や既存セッションも確認します。パスワード・回復手段が残るサービスもあるため、パスキーの追加だけで全ての侵害リスクがなくなるとは判断しません。
詳細解説
パスキーは生体情報そのものではなく、端末のロック解除や本人確認を経て使う認証情報です。同期型は保存サービスを介して端末間で利用され、デバイス固定型は特定の認証器から出ません。利用先にパスワードや別の回復手段が残る場合もあり、登録だけで端末侵害・セッション悪用・復旧時のなりすましがなくなるわけではありません。
ポイント
- サービスに結びついた公開鍵認証により、偽サイトへの認証情報の入力リスクを抑える
- 同期型とデバイス固定型では、機種変更・紛失時の確認方法が異なる
- 保存先、利用先の登録、既存セッションを分けて管理する
- サービスが認める別の認証器・回復手段を準備し、復旧時の本人確認を守る
関連用語
パスキーが登場する記事・比較
よくある質問
パスキーとは？
FIDOの公開鍵暗号に基づく、フィッシング耐性を持つ認証情報。サービスには公開鍵を登録し、認証器側で鍵を使って本人の認証を行う。同期型とデバイス固定型がある。
パスワードとパスキーの違いは？
パスワードは文字列の秘密を使い、パスキーは登録先に結び付く公開鍵の仕組みで認証する。対応サービスでパスキーを選ぶ際は、同期型かデバイス固定型か、利用者確認、紛失時の復旧と既存の認証手段まで確認する。パスキーを追加しただけでパスワード廃止・全セッション失効まで完了するとは扱わない。
同じカテゴリの用語（基礎概念）
ユーザー、端末、リソース、場所、時刻などの属性を条件にしてアクセス可否を判断する方式。…
利用者が業務上必要なシステムやデータへのアクセス権を申請し、承認・付与・記録するプロセス。…
誰が、いつ、何にアクセスし、どの操作を行ったかを追跡するための監査用ログ。…
侵害や障害が起きたときに影響が広がる範囲。権限、ネットワーク、データ連携、依存関係で変わる。…
ブラウザ拡張機能が閲覧データ、タブ、サイト、Cookie、ストレージなどへアクセスするために要求する権限。…
情報セキュリティの3つの基本要素。機密性（Confidentiality）・完全性（Integrity）・可用性（Ava…