しらせ(HN)
お疲れ様です。
しらせです。
最近、Amazonや証券会社、Yahoo! JAPANなどにログインしようとすると、「パスキーを設定しませんか？」という案内をよく見かけるようになりました。
「パスワードと二段階認証があれば十分じゃない？」「なんだか設定が難しそう……」と思って、ずっとスルーしていたのが私です。
ところが先日、私の母がよく分からないままパスキーを設定してしまい、「ログインできなくなった！」と困っていました。
そこで、私もパスキーについて改めて調べてみることにしました。
調べてみると、パスキーは難しい言葉が多いものの、使う側が仕組みを細かく覚える必要はありません。
パスワードを入力する手間を減らし、偽サイトにだまされにくくするための仕組みです。
今回は、専門用語をできるだけ使わずに「パスキーとは何か？」「何が便利なのか？」「気を付けることは何か？」を、私の母のような初心者の方にも分かるように紹介してみます。
最後には、私がパソコンとスマートフォンでどう使っているかも紹介します。
もくじ
パスキーとは？
パスキーを簡単に説明すると、「パスワードを入力する代わりに、スマホやセキュリティキーなどを使ってログインする仕組み」です。
今までは、Webサービスにログインするときに、IDやメールアドレスとパスワードを入力するのが一般的でした。
サービスによっては、そのあとにSMSで届いた番号や認証アプリのコードを入力することもあります。
パスキーなら、対応しているサービスでは、スマホの指紋認証や顔認証、画面ロックに使うPINなどで本人確認するだけでログインできます。
毎回パスワードを入力したり、確認コードを探したりする手間を減らせます。
「じゃあ、パスキーってスマホの指紋認証のこと？」と思うかもしれませんが、それは少し違います。
指紋や顔、PINは「本人が操作していることを確認するための方法」です。
パスキーは、サービスにログインするための認証情報で、指紋や顔、PINなどによる本人確認と組み合わせて使うものなのです。
（正直、パスキーっていう名前はITエンジニアの私からみても紛らわしい気がするんですよね。。
ぶっちゃけパスワードでもキーでもないですから。。）
仕組みをもう少しだけ説明します。
- 登録するとき：
スマホやセキュリティキーの中で、ログインに使うための特別な情報が作られます。サービス側には、その情報と対になる「公開鍵」が登録されます。 - ログインするとき：
サービスからの確認に対して、スマホやセキュリティキーが秘密の情報を使って「本物の利用者による操作です」と証明します。
サービス側は、登録済みの公開鍵を使って、その証明が正しいかを確認します。
図解
少し難しく感じるかもしれませんが、ここで覚えておきたいのは、ログインに必要な秘密の情報を、サービス側にパスワードのような形で渡す必要がないということです。
また、パスキーには大きく分けて、スマホやパソコンなどの間で同期できるタイプと、YubiKeyなどの物理的なセキュリティキーに保存するタイプがあります。
どこに保存されているかによって、機種変更や紛失時の対応が変わります。
パスキーはなぜ安全なの？
パスキーの大きなメリットは、偽サイトにだまされてログイン情報を盗まれる危険を減らせることです。
ほかにも、パスワードの使い回しや、サービス側からのパスワード漏えいによる被害を減らす効果が期待できます。
① 偽サイトにだまされにくい
たとえば、本物の銀行や通販サイトそっくりの偽サイトに誘導され、パスワードを入力してしまうと、そのパスワードを盗まれるおそれがあります。
二段階認証を使っていても、偽サイトを通じて情報を盗まれる攻撃があります。
パスキーは、登録した正規のWebサイトで使うように作られています。
そのため、見た目がそっくりな偽サイトでは、通常はパスキーを使ってログインできません。
利用者が毎回、サイトの見た目だけで本物かどうかを見分けなくてもよいのは、大きな安心材料です。
もちろん、パスキーを使っていれば何があっても安全、というわけではありません。
スマホやGoogleアカウントなどを乗っ取られたり、アカウントを取り戻すための手続きが悪用されたりする危険は残ります。
② サービス側からパスワードが漏れるリスクを減らせる
パスワードでログインするサービスでは、通常、パスワードをそのまま保存するのではなく、変換した値などを保存しています。
それでも、サービス側が攻撃されると、情報が漏れてしまうことがあります。
パスキーの場合、サービス側に登録されるのは「公開鍵」です。
公開鍵だけでは、本人になりすましてログインするための証明を作れません。
そのため、サービス側の情報が漏れたとしても、それだけでパスキーを使ってログインされるわけではありません。
ただし、そのサービスでパスワードによるログインも引き続き使える場合は、パスワード側のリスクがなくなるわけではありません。
③ パスワードを覚えたり、使い回したりする必要が減る
パスワードを複数のサービスで使い回していると、どこか1つのサービスから漏れたパスワードを、別のサービスでも試されてしまうことがあります。
パスキーはサービスごとに別の認証情報を使うため、パスワードの使い回しによる被害を避けられます。
パスワードを覚える負担が減るのも、うれしいポイントです。
パスキーのメリットとデメリット
ここまでの内容を、メリットとデメリットに分けて整理してみましょう。便利な仕組みですが、使い始める前に知っておきたい注意点もあります。
＜メリット＞
- 偽サイトにだまされにくい：
パスキーは登録した正規サイトで使う仕組みなので、一般的なフィッシングサイトでは利用できません。 - パスワードの入力が減る：
対応サービスでは、指紋認証や顔認証、PINなどで本人確認することでログインできます。
長いパスワードを覚えたり、毎回入力したりする手間を減らせます。 - パスワードの使い回しを防げる：
サービスごとに異なる認証情報を使うため、パスワードの使い回しによる被害を避けられます。
＜デメリット＞
- スマホやセキュリティキーをなくしたときに困ることがある：
パスキーを保存している端末やキーをなくすと、ログインできなくなる場合があります。ただし、Google パスワードマネージャーなどで同期するタイプなら、条件が整えば別の端末でも使えます。
大切なサービスでは、予備のログイン方法や復旧方法も確認しておきましょう。 - どこに保存したか分からなくなることがある：
パスキーをスマホに保存したのか、Google パスワードマネージャーに保存したのか、セキュリティキーに保存したのかが分からないと、別の端末からログインするときに迷うことがあります。 - サービスごとに使い方が少し違う：
パスキーの登録方法や、機種変更したときの引き継ぎ方はサービスによって異なります。
画面に表示される案内を確認しながら設定しましょう。
初めて使う場合は、いきなり大事なアカウントで試すのではなく、まずは普段使っているサービスのうち、困ったときの復旧方法を確認できるものから設定してみると安心です。
私の使い方（YubiKey & Android）
私は普段、デスクトップパソコンとAndroidスマートフォンを使っています。それぞれ、次のようにパスキーを利用しています。
① パソコン（Windowsデスクトップ）の場合
私のメインPCは自作のWindowsデスクトップです。
顔認証や指紋認証には対応していません。また、パーツ交換などでPCの構成を変更することもあります。
そこで、パソコンとは別に管理できるUSBタイプのセキュリティキー「YubiKey」を使っています。
対応サービスにログインするときは、YubiKeyをUSBポートに挿し、キーに触れて操作します。生体認証機能がないパソコンでも使えるので便利です。
なお、キーに触れる操作は、本人がその場で操作していることを確認するためのもので、指紋認証とは別の仕組みです。
② スマートフォン（Android）の場合
スマートフォンでは、Google ChromeやGoogle パスワードマネージャーを使ってパスキーを管理しています。
ログインするときは、スマホの指紋認証や顔認証、画面ロックに使うPINなどで本人確認します。
使える方法は端末や設定によって異なります。
Google パスワードマネージャーで管理するパスキーは、条件が整えば、同じGoogleアカウントを使う対応端末でも利用できます。
パスキーが暗号化された仕組みで同期されるため、機種変更の際にも引き継ぎやすいのがメリットです。
ただし、機種変更すれば必ず何もしなくても使える、というわけではありません。
Googleアカウントにアクセスできることなど、必要な条件があります。大切なアカウントでは、事前に復旧方法も確認しておくと安心です。
このように、スマホなどで同期して使うパスキーと、YubiKeyのような物理キーに保存するパスキーでは、管理方法が異なります。
自分の使い方に合った方法を選び、必要であれば予備のログイン手段も用意しておきましょう。
まとめ
最初は「設定するのが面倒くさいな……」と思っていたパスキーですが、調べてみると、パスワードの入力を減らせるだけでなく、偽サイトにだまされにくくするための便利な仕組みだと分かりました。
一応、できるところから徐々に設定を始めています。
難しい仕組みをすべて覚える必要はありません。まずは、「パスキーはパスワードの代わりに使える、偽サイトに強いログイン方法」と覚えておけば十分です。
ただし、スマホやセキュリティキーをなくしたときに困らないよう、どこでパスキーを管理しているか、ログインできなくなったときにどう復旧するかは確認しておくに越したことはありません。
みなさんもAmazonやYahoo! JAPAN、証券会社など、普段使っているサービスでパスキーの案内が表示されたら、公式の説明を確認しながら、無理のない範囲で試してみてください。
以上
お疲れ様でした。