パスキーとは?パスワードに代わるログインの仕組みを、印鑑にたとえて解説

パスワードを覚えるのも、使い回さないようにするのも、たいへんですよね。そこで注目されているのが、パスワードを入力しないでログインできる「パスキー」です。

警察庁の資料では、「パスワードだけの認証はもう限界」として、パスキーの導入が呼びかけられています。この記事では、パスキーのしくみを、印鑑と手紙のやり取りにたとえて、やさしく整理します。

パスキーとは?パスワードを使わないログインのしくみ

パスキーは、パスワード漏えいやフィッシングのリスクから利用者を守るための、より安全な認証方式です。ログインのときは、パスワードの代わりに、顔認証や指紋認証を使います。

印鑑(秘密鍵)は、スマホなどの端末の安全な領域に保存されます。サービスに提出するのは、印影にあたる公開鍵です。

パスキーでログインするときの流れは、印鑑を押して手紙を返すイメージです。

ステップ	たとえ	実際の動き
1 鍵ペアの作成	利用者が印鑑を作って金庫に保管し、印影をサービスに提出する	印鑑が秘密鍵、印影が公開鍵、金庫がスマホにあたる
2 認証の要求	サービスが、ランダムな文字列の手紙を送る	チャレンジの送信
3 本人確認・署名	利用者が顔認証や指紋認証をして、金庫から印鑑を取り出し、手紙に押印する	電子署名
4 署名の検証	サービスが、登録済みの印影と一致するか、手紙の内容が2と同じかを確かめる	署名の検証

ログインのたびに、サービスが送ってくる「手紙」に、手元の印鑑で押印して返します。顔認証や指紋認証が、印鑑を取り出す鍵の役目をします。

メリット	中身
漏えいのリスクが下がる	秘密鍵は端末の安全な領域に保存されるため、漏えいの被害を抑えられる
偽サイトでは認証できない	フィッシングサイトにだまされて、ログイン情報を渡してしまう被害を防ぎやすい
ログインがラクになる	パスワードの入力は不要。顔認証や指紋認証で、すぐにログインできる

情報流出が起きると、流出したメールアドレスに、偽のメールが届くことがあります。偽のメールから偽サイトに誘導されると、さらに情報が盗まれたり、お金の被害につながったりするおそれがあります。

備えとして、次の3つを心がけましょう。

サービスを提供する事業者向けには、送信ドメイン認証技術(DMARC)を導入して「受信拒否」に設定することや、パスキーなどの多要素認証を導入することが呼びかけられています。利用するサービスがパスキーに対応しているかどうかも、ときどき確かめてみましょう。