【ITニュース解説】楽天証券、パスワード不要で安全な「パスキー」導入　絵文字不要に　10月26日から

ITサービスを利用する際、私たちは常に「パスワード」という存在に直面してきた。しかし、このパスワードは長年、利便性とセキュリティの板挟みになってきた課題でもあった。覚えにくい複雑なパスワードはメモしがちになり、覚えやすい簡単なパスワードは推測されやすい。複数のサービスで同じパスワードを使い回すと、一つのサービスから情報が漏洩しただけで、他のサービスにも不正ログインされるリスクが生じる。このように、従来のパスワード認証は、利用者に多くの負担を強いるだけでなく、不正アクセスの温床ともなり得た。特に、楽天証券のような重要な資産を扱うサービスにおいては、これらのセキュリティリスクを最小限に抑えることが不可欠である。

楽天証券が2023年10月26日から導入した「パスキー認証」は、この長年の課題に対する画期的な解決策となる。パスキーとは、文字通り「パスワード不要」で安全にログインできる新しい認証方式である。利用者は、パスワードを覚える必要も、入力する手間もなく、スマートフォンやパソコンに搭載された指紋認証や顔認証といった生体認証機能を使って、簡単かつ安全にサービスにログインできるようになる。これは、単にログインが便利になるというだけでなく、その裏側にある高度なセキュリティ技術によって、不正アクセスへの耐性を飛躍的に向上させるものだ。

このパスキー認証の根幹をなす技術は、「FIDO2（ファイドツー）」と呼ばれる国際標準の認証プロトコルである。FIDO2は、「公開鍵暗号方式」という考え方に基づいている。これは、情報を暗号化・復号化したり、本人であることを証明したりするために、「秘密鍵」と「公開鍵」というペアになった二つの鍵を利用する仕組みだ。

パスキーを初めて設定する際、利用者のデバイス、例えばスマートフォンやパソコンの中に、そのデバイス専用の「秘密鍵」が生成される。この秘密鍵は、デバイスの内部にある特別な領域に厳重に保管され、決して外部に出ることはない。この秘密鍵へのアクセスは、利用者の指紋や顔といった生体情報によってのみ許可される仕組みになっている。秘密鍵がデバイスの外に出ないという点は、パスキーのセキュリティにおいて非常に重要なポイントだ。

一方、ペアとなる「公開鍵」は、安全な通信を通じてサービス提供側、この場合は楽天証券の認証サーバーに送られ、登録される。楽天証券のサーバーには、多数の利用者の公開鍵が保管されることになるが、公開鍵は秘密鍵から派生したものであり、公開鍵だけでは秘密鍵を推測することはできない。

実際にログインする際は、まず利用者が楽天証券のサイトにアクセスし、パスキーでの認証を選択する。すると、楽天証券の認証サーバーは、その利用者固有の「チャレンジ」（お題のようなもの）と呼ばれるランダムなデータを、利用者のデバイスに送信する。利用者のデバイスは、このチャレンジを受け取ると、生体認証（指紋や顔認証）によって利用者が本人であることを確認し、デバイス内に安全に保管されている秘密鍵にアクセスする。秘密鍵は、受け取ったチャレンジデータに対して特定の暗号処理を行い、その結果として「署名」と呼ばれるデータを生成し、これを楽天証券の認証サーバーに送り返す。

楽天証券の認証サーバーは、事前に登録されているその利用者の公開鍵を使って、デバイスから送られてきた署名が、本当にその利用者の秘密鍵によって生成されたものかを検証する。この検証が成功すれば、サーバーは利用者が正当な本人であると判断し、ログインを許可する。

この認証の仕組みは、従来のパスワード認証に比べて、いくつかの点で圧倒的に優れている。まず、利用者の秘密鍵がデバイスの外に出ることがないため、サーバー側から情報が漏洩したとしても、その秘密鍵が悪用される心配がない。パスワードのように、サーバーから漏洩した文字列を使って不正ログインされるリスクが根本的に解消されるのだ。

次に、フィッシング詐欺に対する強さがある。フィッシング詐欺とは、本物そっくりの偽サイトを用意し、利用者に誤ってパスワードなどの認証情報を入力させることで、情報を盗み出す手口である。しかし、パスキー認証は、特定の正規サイトのURLと紐付けられて機能するように設計されているため、たとえ巧妙に作られた偽サイトであっても、そこではパスキー認証を完了することができない。利用者が誤って偽サイトで生体認証を行おうとしても、秘密鍵は正規のサイトでのみ機能するため、情報が盗まれる危険性がないのだ。これは、フィッシング詐欺の脅威から利用者を強力に保護する。

利用者にとっての利便性も計り知れない。複雑なパスワードを記憶し続ける負担から解放され、複数のサービスでパスワードを使い回すといったセキュリティ上危険な行為をなくすことができる。さらに、指紋や顔をかざすだけで瞬時にログインできるため、パスワード入力の手間も時間も大幅に削減され、非常にスムーズな利用体験が得られる。これは、特に利用頻度の高いサービスや、迅速な操作が求められる証券取引において、大きなメリットとなる。

楽天証券がFIDO2ベースのパスキー認証を導入したことは、証券取引における利便性とセキュリティの両立を追求し、不正アクセス対策を強化するという強い意志の表れだ。システムエンジニアを目指す上で、このような最先端の認証技術がどのように社会に浸透し、従来の課題を解決しているのかを理解することは非常に重要だ。FIDO2のような標準化された技術は、今後、金融サービスにとどまらず、さまざまなWebサービスやアプリケーションへと普及していくことが予想される。セキュリティを設計し、実装する上で不可欠な要素となるため、その仕組みと利点を深く学ぶことは、将来のキャリアにおいて大きな強みとなるだろう。パスワード不要の未来は、セキュリティと利便性が高次元で融合する新しいデジタル体験の始まりを示している。