【ITニュース解説】How secure are passkeys, really? Here's what you need to know

現在、多くのインターネットサービスで本人確認のためにパスワードが利用されている。しかし、このパスワードが、実はセキュリティ上の大きな弱点となっている。ニュース記事でも言及されているように、企業のデータ侵害の約88%が、盗まれたユーザー名とパスワードの組み合わせ、つまり認証情報の漏洩に起因している。

パスワードが狙われる主な理由として、フィッシング詐欺がある。これは、本物そっくりの偽サイトやメールでユーザーをだまし、パスワードを入力させて盗み取る手口だ。また、過去に漏洩したパスワードを別のサービスで使い回して不正ログインを試みる「パスワードリスト攻撃」も頻繁に発生している。ユーザー自身が推測されやすいパスワードを設定したり、複数のサービスで同じパスワードを使い回したりすることも、セキュリティリスクを高める要因となっている。このように、パスワードに依存した従来の認証システムは、多くの脆弱性を抱えているだけでなく、ユーザーにとっても複雑なパスワードを覚える負担が大きい。これらの課題を解決し、より安全で使いやすい認証方法として開発されたのが「パスキー」だ。

パスキーは、パスワードを使わずにウェブサイトやアプリケーションにログインできる、新しい認証技術である。これは、FIDOアライアンスが策定したWebAuthn（Web Authentication）という標準プロトコルに基づいている。その中心にあるのは「公開鍵暗号方式」という高度な暗号技術だ。パスキーを登録する際、ユーザーのデバイス（スマートフォンやPCなど）は、そのデバイス固有の「秘密鍵」と、公開しても問題ない「公開鍵」というペアの鍵を生成する。このうち、公開鍵だけがログインしようとしているウェブサービスに送られ、サーバーに保存される。秘密鍵は、ユーザーのデバイス内に安全に保管され、決して外部に公開されることはない。ログイン時には、ウェブサービスから送られてきた情報を、デバイス内の秘密鍵で署名し、その署名をウェブサービスが保存している公開鍵で検証することで本人確認を行う。この一連の認証プロセスは、ユーザーが生体認証（指紋や顔）やPINコードなど、普段デバイスのロックを解除するのと同じ操作で完結する。パスワードの入力が不要となるため、非常にスムーズでストレスのないログインが可能となる。

パスキーの最も重要なメリットの一つは、「フィッシング耐性」の高さにある。従来のパスワードでは、偽サイトに誘導されてパスワードを入力すると、それが攻撃者に盗まれるリスクがあったが、パスキーでは秘密鍵がユーザーのデバイス内に厳重に保管されており、ウェブサービスに直接入力するものではないため、偽サイトに秘密鍵を盗まれることが構造的に不可能だ。これにより、ユーザーはサイトが正規のものであるかを心配することなく、安心してログインできる。次に、「使いやすさ」も大きな利点だ。ユーザーは複雑なパスワードを記憶したり、定期的に変更したりする必要がなくなる。ログイン時には、スマートフォンやPCの指紋認証、顔認証、またはPINコードを入力するだけで良く、これは日常的にデバイスのロックを解除する操作と変わらない。これにより、ログインにかかる時間と手間が大幅に削減され、ユーザーエクスペリエンスが向上する。さらに、パスキーは各ウェブサービスごとに異なる秘密鍵と公開鍵のペアを生成するため、たとえあるサービスから公開鍵の情報が漏洩したとしても、それが他のサービスへの不正ログインに利用されることはない。秘密鍵はデバイスのセキュリティチップなどに保存され、強力な暗号化技術で保護されているため、セキュリティが大幅に向上する。企業側にとってのメリットは、「サポートコストの削減」が期待できる点だ。パスワード忘れやリセット対応といったITサポート部門の負担が軽減され、運営コストの削減に貢献できる可能性がある。

パスキーは多くの利点を持つ一方で、いくつかの課題も存在する。まず、「デバイス依存性」が挙げられる。パスキーは特定のデバイス（スマートフォンやPCなど）に紐づけられて生成されるため、そのデバイスを紛失したり、故障したりした場合に、ログインできなくなる可能性がある。この問題は、iCloudキーチェーンやGoogleパスワードマネージャーのようなパスキーの同期機能を利用することで、複数のデバイス間でパスキーを同期し、バックアップを取ることが可能となり、ある程度緩和される。次に、「初期導入の複雑さ」がある。新しい認証方法であるパスキーにユーザーが慣れるまでには学習期間が必要となる。また、まだすべてのウェブサービスがパスキーに対応しているわけではないため、既存のパスワードとパスキーの両方を使い分ける過渡期が発生し、ユーザーが混乱する可能性も考えられる。「互換性」も課題の一つだ。パスキーは比較的新しい技術であるため、まだすべてのウェブサービスやブラウザが完全にサポートしているわけではない。利用できるサービスが限られている現状では、ユーザーはパスキーの利便性を十分に享受できない場面も存在する。最後に、「管理の課題」がある。複数のデバイスでパスキーを運用する際、それぞれのデバイスでのパスキーの管理が必要になる。パスキーの削除や新しいデバイスへの移行手順が複雑であったり、ユーザーが自分で対処しにくい状況も考えられるため、今後の改善が望まれる。

システムエンジニアを目指す皆さんにとって、パスキーのような新しい認証技術の登場は、セキュリティとユーザーエクスペリエンスの重要性を深く理解する絶好の機会だ。パスキーが提供する高いセキュリティと利便性は、これからのシステム設計において標準的な要件となる可能性を秘めている。しかし、新しい技術には常に課題が伴うことも忘れてはならない。技術的な側面だけでなく、ユーザーが実際にどのように利用するのか、どのような困難に直面する可能性があるのかを想像し、それを解決するための設計や実装を考えることが、システムエンジニアとしての重要な役割となる。パスキーの導入にあたっては、既存の認証システムとの連携、複数のデバイス間での同期と管理、そして何よりもユーザーが迷わず使えるような、直感的で分かりやすいインターフェースの提供が求められる。セキュリティは、もはや一部の専門家だけの責任ではなく、システムに関わる全てのエンジニアが常に意識すべき最も重要な要素の一つだ。パスキーを通じて、未来の認証のあり方とその課題について深く理解することは、皆さんが優れたシステムエンジニアとして成長するための貴重な経験となるだろう。