パスキーとは — 仕組み・同期型の違い・導入時の復旧確認

パスキーとは：サービスごとの公開鍵で認証する仕組み

パスキーは、パスワードの代わりに鍵のペアを使う認証情報です。サービスが保存する公開鍵に対し、認証器が秘密鍵を使って応答を作ります。ログインのたびに共有のパスワードをサービスへ送る方式ではありません。

個人は重要なアカウントから、情シス・SaaS管理者は復旧と退職時の管理を確認してから導入します。パスキーを登録しただけで、従来のログイン・アカウント復旧経路の弱点までなくなるわけではありません。

なぜフィッシングに強いのか

WebAuthnを使う認証では、認証先との結び付きを検証します。別の偽サイトへ使い回せるパスワードや、手入力する確認コードとは異なる性質です。FIDO Allianceの説明とNIST SP 800-63B-4では、フィッシング耐性を認証方式の特性として扱っています。

ただし、認証後のセッションの侵害、端末の不正利用、悪意あるアプリへの同意、弱い復旧手続きは別の問題です。「パスキーなら不審な依頼を確認しなくてよい」と考えないでください。

同期型とデバイス固定型の違い

同期型では「秘密鍵は常に一台の端末から出ない」と説明するのは不正確です。サービスへ秘密鍵を渡さないことと、認証情報が同期されることを分けて考えます。同期型が自動的にNISTの最高保証レベルを満たすわけでもありません。高い保証要件では、鍵の非エクスポート性など個別の要件を確認します。

導入前のチェックリスト

• 対象サービス、OS・ブラウザ・認証器の対応を公式ヘルプで確認する。
• 個人所有・会社管理・共有端末を区別する。共有端末への個人用登録は安易に行わない。
• 登録・削除・認証のログを管理者が確認できるか調べる。
• 端末紛失や同期アカウントへ入れない場合の復旧を確認する。
• 追加の認証器や回復コードが利用できる場合は、保存場所と管理者を決める。
• 従来のパスワード、SMS、ヘルプデスク経由の復旧が残るか確認する。
• 退職・端末譲渡時のアカウント停止と認証情報削除の責任者を決める。

メニュー名や対応機能はサービスによって変わります。公開された操作手順を自社環境に照合し、小規模な対象で試験してから展開してください。

紛失・不正登録が疑われる時の初動

紛失した認証器の登録、アクティブなセッション、復旧先の変更を正規の管理画面で確認します。不正登録が疑われる場合は、責任者へ報告して当該登録の削除やセッション失効を判断します。唯一の認証器を独断で削除すると、正規利用者も締め出すおそれがあります。

記録には対象サービス、登録日時、認証器の管理区分、確認したログ、変更の承認、復旧確認、未確認事項を残します。秘密鍵、PIN、回復コードそのものは記録しません。

よくある誤解と次の学習

生体認証は、通常は端末で認証器を使うための確認であり、指紋データを各サービスへ送る説明ではありません。また「パスワードレス」と「必ず多要素」は同義ではなく、利用者確認や認証方式の要件によります。

パスワード管理、MFAの選び方、認証と認可の違い、SaaS権限棚卸しを併せて確認してください。