パスキー(パスキー)とは | 意味や読み方など丁寧でわかりやすい用語解説

パスキーとは、従来のパスワードに代わる、より安全で便利な次世代の認証技術である。Web認証の標準規格であるFIDO2（Fast IDentity Online 2）およびWebAuthn（Web Authentication）プロトコルに基づいており、ユーザーはパスワードを記憶したり入力したりすることなく、自身のデバイス（スマートフォン、PCなど）と生体認証（指紋、顔）やPIN（暗証番号）を使ってWebサービスやアプリケーションにログインできるようになる。この技術は、パスワードが抱えるセキュリティ上の脆弱性や利便性の課題を根本的に解決することを目指している。

詳細に説明すると、パスキーの核心は、公開鍵暗号方式の利用にある。ユーザーがサービスにパスキーを登録する際、利用しているデバイス上で一意の秘密鍵と公開鍵のペアが生成される。このうち、公開鍵のみがサービスを提供するサーバーに安全に保管され、秘密鍵はユーザーのデバイス内に厳重に、かつ安全に保管される。秘密鍵はデバイスの外に出ることはなく、クラウドサービスなどを利用して安全に他のデバイスと同期される場合も、暗号化された状態で転送される。

認証時のプロセスは次のようになる。ユーザーがサービスへのログインを試みると、サーバーは「チャレンジ」と呼ばれるランダムなデータをデバイスに送信する。デバイスは、このチャレンジデータを保管している秘密鍵で「署名」し、その署名されたデータをサーバーに返送する。サーバーは、以前登録された公開鍵を使ってこの署名を検証する。署名が正しく検証されれば、サーバーはユーザーの本人確認ができたと判断し、ログインを許可する。この一連の認証プロセスにおいて、ユーザーは生体認証やPINによるデバイスのロック解除を行うことで、秘密鍵へのアクセスを許可する。

従来のパスワード認証と比較すると、パスキーの利点は明確である。まず、最も重要なのはその高いセキュリティである。パスワードは通常、ユーザーが記憶し、それをサーバーに送信して認証を行う。この仕組みは、フィッシング攻撃（偽のサイトでパスワードを入力させて盗み取る手口）や、ブルートフォース攻撃（総当たり攻撃）や辞書攻撃（よく使われるパスワードのリストを試す攻撃）に対して脆弱である。また、サーバーからパスワードが漏洩した場合、他のサービスで同じパスワードを使い回していると、芋づる式に被害が拡大するリスクがある。

一方、パスキーはフィッシング攻撃に極めて強い。認証プロセスにおいてデバイスとサーバー間でやり取りされるのは、署名されたチャレンジデータであり、パスワードのように「秘密の情報」をユーザーが入力することはない。署名は特定のサイト、特定のチャレンジに対してのみ有効であり、偽のサイトで署名を行っても、その署名は本物のサイトでは検証に失敗する。また、秘密鍵はデバイスの外に出ないため、サーバーから情報が漏洩したとしても、ユーザーの認証情報が直接盗まれるリスクは大幅に低減される。ブルートフォース攻撃や辞書攻撃も、デバイス内の秘密鍵がなければ意味をなさないため、原理的に通用しない。

次に、優れた利便性が挙げられる。ユーザーは複雑なパスワードを覚える必要がなく、サービスごとに異なるパスワードを作成・管理する手間からも解放される。ログイン時には、指紋認証、顔認証、またはPINを入力するだけでよく、これはパスワードを入力するよりも格段に迅速かつ簡単である。さらに、AppleのiCloudキーチェーンやGoogleのパスワードマネージャーといった仕組みを通じて、パスキーはユーザーの複数のデバイス間で安全に同期される。これにより、あるデバイスでパスキーを登録すれば、他のデバイスでも同じサービスにパスキーを使ってログインできるようになり、デバイスの買い替えや機種変更時にもスムーズに移行できる。

パスキーは、WebAuthnプロトコルを通じて、主要なWebブラウザ（Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safariなど）やオペレーティングシステム（Windows, macOS, iOS, Androidなど）で広くサポートされつつある。これにより、異なるプラットフォームやデバイス間でも一貫した認証体験を提供できるようになっている。Webサービスを提供する側にとっても、パスキーを導入することでユーザーのセキュリティが向上し、サポートコストの削減にもつながる可能性がある。

まとめると、パスキーはパスワードが抱える根本的な課題を解決するために開発された、安全で利便性の高い認証技術である。公開鍵暗号方式を基盤とし、フィッシング耐性やサーバー漏洩時のリスク低減を実現しながら、ユーザーにはパスワードの記憶や入力の手間をなくし、生体認証やPINによるシンプルなログイン体験を提供する。システムエンジニアを目指す上で、このような次世代の認証技術は、今後のWebサービスのセキュリティとユーザー体験を考える上で不可欠な知識である。多くの企業やサービスがパスキーの導入を進めており、その普及は今後も加速していくと予想される。