パスワードからパスキーへ：進化する認証技術

デジタル社会の発展とともに、私たちは日々膨大な数のパスワードを管理する必要に迫られています。オンラインバンキングからSNS、ショッピングサイトに至るまで、あらゆるサービスがパスワードによる認証を求めています。しかし、強固なパスワードを作成し、サービスごとに異なるものを使い分け、定期的に変更するという理想的な運用は、現実にはほとんど不可能です。そこで注目を集めているのが「パスキー（Passkeys）」という新たな認証技術です。パスキーは、従来のパスワードが抱える多くの問題を解決し、より安全でユーザーフレンドリーな認証方法を提供します。本コラムでは、パスキーの基本概念から導入企業の事例、そして未来の展望まで、パスワードレス時代の鍵となるこの技術について詳しく解説します。

デジタル認証の歴史とパスワードの限界

コンピュータシステムへのアクセス制御として初めてパスワードが使用されたのは1960年代のこと、MIT（マサチューセッツ工科大学）のCTSSシステムでの実装が最初とされています。それから半世紀以上、パスワードは私たちのデジタルアイデンティティを守る主要な手段として君臨してきました。インターネットの普及とともに、一人当たりのオンラインアカウント数は爆発的に増加し、一人が複数のアカウントを持つ状況が当たり前となっています。
この状況は「パスワード疲れ」という深刻な問題を引き起こしています。人間の記憶力には限界があり、多数の複雑なパスワードを覚えることは困難です。その結果、多くのユーザーが同じパスワードを複数のサイトで使い回すという危険な習慣に頼っています。また、パスワードを覚える煩雑さから、誕生日や家族の名前などの個人情報を利用した推測されやすいパスワードを使用しているユーザーも多数存在します。
このようなパスワード管理の負担や脆弱な認証方式から脱却するため、新たな認証方式が検討され、導入されてきました。

パスキーとは何か

既に利用されている方もいらっしゃると思いますが、パスワードに代わる新たな方式である「パスキー」とは何でしょうか？
パスキーとは、「FIDO（ファイド）アライアンス」が推進する認証規格に基づいた、パスワードに代わる新しい認証方法です。FIDOは「Fast Identity Online」の略称で、生体認証などを利用した新しいオンライン認証技術の標準化を目指して発足した非営利団体です。
従来のパスワードと異なり、パスキーは生体認証（指紋認証や顔認証など）とデバイスの暗号鍵を組み合わせることで、より高いセキュリティを実現します。 パスキーを利用した認証の例として、iPhoneでのYahooのログイン認証は下記のようになります。

パスキーはFIDO2の技術がベースとなっています。FIDO2は2018年に認定されたパスワードレス認証を実現するための技術規格で、公開鍵暗号方式を用いて高セキュリティな認証を実現するものです。ユーザーのデバイスに秘密鍵が、サービス提供側には公開鍵が保存され、その鍵のペアを利用して認証を行います（上記例では、デバイスがiPhone、サービス提供側はYahooのサーバーとなります）。

復習的な内容になりますが、公開鍵暗号方式とは2種類の鍵を利用する方法です。相手に公開する「公開鍵」と、絶対に秘密にして誰にも漏らさない「秘密鍵」の2種類を利用して暗号化する仕組みのことです。
例えば下記の図のように、BさんからAさんに対して「123」という文章を送りたい場合、BさんはAさんが公開している公開鍵で暗号化を行います。Aさんの公開鍵で暗号化した暗号文は、Aさんが持っている秘密鍵でのみ復号することができます。この秘密鍵はAさんしか持っていないため、Aさんだけが「123」という文章を見ることができるわけです。このような暗号化の仕組みを利用して、認証の処理が行われます。

パスキー認証プロセス

パスキーを利用したもう少し具体的な認証の流れを説明します。

公開鍵と秘密鍵の生成

まずは下記の流れで、認証用の鍵を生成します。

① Webサイトにてユーザーが新しいアカウントを作成する際、デバイス上で公開鍵と秘密鍵のペアが生成されます。
② 公開鍵はサーバーに保存され、秘密鍵はデバイスに保管されます。

この場合、アクセスしたいWebサーバー側となるサービス側が保持するのは公開鍵のみです。重要な秘密鍵はユーザーのデバイス側に保管されているため、万が一サービス側から公開鍵が漏洩しても、それを用いて不正アクセスを行うことはできません。
なお、このペア鍵の生成はデバイスごとに依存するため、同じWebサイトで同じユーザーの認証を異なるデバイスで行おうとした場合、都度デバイスごとに鍵のペアを生成する必要があります。

認証プロセス

次に、生成した鍵を利用した認証の流れを説明します。

① ユーザーがデバイス（スマホなど）でサービス側のWebサイト（サーバー）にアクセスし、ログインを試みます。
② Webサイトは認証のため、チャレンジと呼ばれるランダムな文字列をデバイスに送ります。
③ チャレンジを受信したデバイス側では、デバイスに保管されている「秘密鍵」を使うため、デバイスのロック解除と同じ操作（指紋や顔認証など）で本人確認をします。
④ 送られてきたチャレンジに「秘密鍵」を使って署名し、Webサイトに署名付きのチャレンジを送信します。
⑤ チャレンジを受け取ったWebサイトは、デバイスから送信された署名を、サーバー側で保管している「公開鍵」を用いて検証し、認証を行います。
⑥ 正当なデバイスであることが認証されたら、ユーザーはWebサイトにログインできます。

技術的には公開鍵暗号方式を採用しており、ユーザーのデバイスには秘密鍵が、サービス提供側には公開鍵が保存されます。認証時には、サービス側から送られてきたチャレンジに対して、ユーザーのデバイスが秘密鍵を用いて署名を行い、その署名をサービス側が検証するという流れになります。

この仕組みの最大の特徴は、パスワードのように「共有される秘密情報」が存在しないことです。パスワードは、ユーザーとサービス側の両方が同じ情報を保持する必要があります。そのため、サービス側のデータベースが漏洩した場合、パスワードが流出するリスクがあります。一方、パスキーの場合、秘密鍵はユーザーのデバイスから一切外部に出ることがなく、サービス側が保持するのは公開鍵のみです。公開鍵が漏洩しても、それを用いて不正アクセスを行うことはできません。
さらに、パスキーはフィッシング攻撃にも強いという利点があります。フィッシングサイトが本物そっくりに見えたとしても、ドメイン情報が異なるため、正しいサービスに対して生成されたパスキーでは認証が成功しません。FIDO2では、Webサイトのドメイン情報と紐付けて秘密鍵／公開鍵のペアが管理されるため、アクセスしたドメイン情報が秘密鍵/公開鍵で紐づけられたドメイン情報と一致しないと認証できないからです。これにより、ユーザーが騙されてパスワードを入力してしまうというリスクを大幅に減らすことができるのです。

パスワードの限界とパスキーの優位性

冒頭でも少し触れましたが、従来のパスワード認証には多くの限界があります。まず、人間の記憶力の限界です。セキュリティの専門家は、サービスごとに異なる複雑なパスワードを使用し、それを定期的に変更することを推奨しています。しかし、一般ユーザーが数十、数百のアカウントそれぞれに対して、このような理想的な運用を行うことは現実的ではありません。結果として、多くのユーザーは同じパスワードを複数のサービスで再利用したり、覚えやすい単純なパスワードを使用したりしています。

また、パスワードは入力の手間がかかります。特にモバイルデバイスでの入力は煩わしく、大文字、小文字、数字、記号を組み合わせた複雑なパスワードを正確に入力することは容易ではありません。さらに、パスワードはリセット手続きも煩雑で、メールや電話による確認コードの入力など、複数のステップを踏む必要があります。
これに対し、パスキーは多くの面で優位性を持っています。まず、ユーザーは複雑なパスワードを覚える必要がなく、指紋や顔などの生体情報を用いて簡単に認証できます。入力の手間も大幅に削減され、ワンタップやワンルックで認証が完了します。さらに、パスキーはデバイス間で同期することができるため、新しいデバイスを購入した際にも、既存のパスキーを簡単に転送することが可能です。

セキュリティ面でも、パスキーは大きなアドバンテージを持っています。先述したように、フィッシング攻撃に強く、サービス側のデータベース漏洩時のリスクも最小限に抑えられます。また、ブルートフォース攻撃（総当たり攻撃）にも耐性があり、従来のパスワードよりも格段に安全性が高いと言えるでしょう。

マルチデバイス時代におけるパスキーの課題

パスキーは、ユーザーの認証体験を大幅に向上させる革新的な技術です。しかし、前述したように現状ではデバイスごとに新しい公開鍵を作成する必要があるため、ユーザーにとって手間が増えることがデメリットとなります。特に、古いシステムやクラウド同期機能を実装していないサイトでは、この問題が顕著です。 デバイスごとに鍵を作成する必要がある理由は、各デバイスが独自の秘密鍵を生成し、それを基に公開鍵を作成するためです。このプロセスにより、各デバイスが個別に認証を行うことが可能になりますが、ユーザーにとっては煩雑さが増す要因となります。
しかし、パスキーの普及が進むにつれて、より多くのサイトがクラウド同期機能を導入し、ユーザー体験が向上することが期待されています。例えば、AppleのiCloudキーチェーンのようなサービスは、秘密鍵をエンドツーエンドで暗号化し、複数のデバイスで同じパスキーを使用することを可能にしています。

主要企業によるパスキー導入事例

パスキーの普及は、主要テクノロジー企業の積極的な導入によって加速しています。Google、Apple、Microsoftという三大巨頭が、各自のプラットフォームでパスキーのサポートを開始しました。これにより、Android、iOS、Windows、macOSなど、主要なオペレーティングシステムでパスキーが使用できるようになっています。

Googleの場合、2023年から本格的にパスキーのサポートを開始し、Googleアカウントへのログインにパスキーを使用できるようになりました。Chromeブラウザもパスキーをサポートし、ウェブサイトへのログイン時にパスキーを使用することが可能です。
Appleは、iOS 16およびmacOS Venturaからパスキーのネイティブサポートを導入しました。iCloudキーチェーンを通じて、iPhoneやMacなどのデバイス間でパスキーを同期することができます。
Microsoftも、Windows Hello機能と連携してパスキーをサポートしています。特に企業向けのAzure Active Directoryとの統合を強化し、企業のセキュリティを向上させています。
ECサイトやSNSなどのサービス提供企業も、積極的にパスキーを導入しています。例えば、Amazonやメルカリはパスキーによるログインをサポートしており、ユーザーは指紋認証や顔認証を用いて簡単に安全にサービスを利用できるようになっています。

このように多くの企業がパスキーを導入し始めており、その普及に一役買っています。

パスキー導入における課題と対策

パスキーの普及には多くのメリットがありますが、導入に際してはいくつかの課題も存在します。まず、ユーザーの認知度と理解の不足です。多くのユーザーはまだパスキーについて十分な知識を持っておらず、新しい認証方式への移行に不安を感じている可能性があります。この課題に対しては、わかりやすい説明とガイダンスが重要です。サービス提供者は、パスキーの利点や使用方法について丁寧に説明し、段階的な導入を進めることが望ましいでしょう。

次に、レガシーシステムとの互換性の問題があります。多くの企業や組織では、古いシステムやアプリケーションがまだ使用されており、これらがパスキーに対応していないケースが少なくありません。この場合、システムの更新やアップグレードが必要となりますが、コストや時間がかかる可能性があります。短期的には、パスワードとパスキーの併用という形で段階的に移行を進めることが現実的な対策となるでしょう。
デバイスを紛失した場合のリカバリー方法も重要な課題です。パスキーはデバイスに紐づいているため、デバイスを紛失した場合、アカウントへのアクセスが困難になる可能性があります。この対策として、複数のデバイスでパスキーを設定しておくことや、バックアップの仕組みを整えておくことが重要です。多くのパスキー対応サービスでは、リカバリーコードの発行など、セカンダリの認証方法を用意しています。

また、デバイス間のパスキー同期についても、すべてのサービス提供企業が対応できているわけではありません。この場合、パスキー対応のパスワードマネージャーを利用することで、デバイス間の同期問題を解決することが可能です。
さらに、組織内での導入に際しては、既存のセキュリティポリシーとの整合性も検討する必要があります。例えば、定期的なパスワード変更を義務付けていた組織では、パスキー導入によってこのポリシーをどう見直すかという議論が生じるでしょう。セキュリティ担当者は、パスキーの特性を正しく理解し、適切なポリシーを策定することが求められます。

パスキーの将来と可能性

パスキー技術は今後さらに進化し、様々な分野での活用が期待されています。まず、IoT（モノのインターネット）デバイスとの統合が進むでしょう。スマートホーム機器やウェアラブルデバイスなど、日常生活に溶け込むあらゆるデバイスでパスキーによる認証が可能になれば、よりシームレスで安全な体験が実現します。例えば、スマートロックと連携することで、鍵を持ち歩く必要なく、スマートフォンやスマートウォッチの生体認証だけで自宅のドアを開けられるようになるでしょう。
次に、企業のゼロトラストセキュリティ戦略との親和性も注目されています。ゼロトラストは「何も信頼せず、常に検証する」という考え方に基づいたセキュリティモデルですが、パスキーはこの概念と非常に相性が良いとされています。従業員の認証強化やマルチファクター認証の簡略化など、企業のセキュリティ体制の強化に大きく貢献すると期待されています。
また、ブロックチェーン技術との連携も興味深い発展方向です。暗号資産のウォレットアクセスにパスキーを活用することで、秘密鍵の管理が格段に容易になります。これまで暗号資産の利用における大きな障壁であった複雑な鍵管理の問題が解決されれば、暗号資産やブロックチェーン技術の普及がさらに加速する可能性があります。 さらに、メタバースやバーチャルリアリティ空間におけるアイデンティティ管理にもパスキーが活用される可能性があります。仮想空間でのなりすましや不正アクセスを防ぎ、安全な体験を提供するための認証基盤として機能することが期待されています。
長期的には、パスキーはデジタルIDエコシステムの中核技術として位置づけられるでしょう。政府発行のデジタルIDや、国境を越えたID相互運用の基盤として機能し、グローバルなデジタルエコノミーの発展を支える重要な役割を果たすことが期待されています。

まとめ