パスキーとは？導入メリットや設定方法、利用時の注意点を解説
パスキーとは、パスワードに代わって、安全で簡単にサービスにログインできる新しい認証方法です。パスキーを導入することで、ユーザーに利便性をもたらし、安全性も高まります。今回は、パスキーについて仕組みやメリット、注意点等を紹介します。
目次
パスキーとは、パスワードに代わる簡単で安心な新しい認証方法です。
Webサービスやアプリケーションのログイン時には、IDとパスワードを求められます。しかし、パスキーを利用すれば、すぐに本人確認が完了しログインできるため、ユーザーの利便性が向上します。パスキーはフィッシング耐性やハッキング耐性もあると言われていて、セキュリティ性が高いのが特徴です。
今回は、パスキーについて仕組みや導入メリット、実際の成功事例を解説します。また、各デバイスでのパスキー設定についても紹介します。現状、パスキーは普及期で対応しているサービスは少ないものの、これからさらに広まっていく見込みなので、ぜひ今後の参考にしてみてください。
パスキーとは？
パスキーとは、パスワードに代わる簡単で安全なログインができる新しい認証方法です。パスキーは以下の認証方法を使うため、安全性を高く保てます。
- 顔認証
- 指紋認証
- PIN
- パターン
従来のパスワード認証はIDとパスワードが必要で、他人が不正に入手したり、総当たり攻撃したりして突破できるという問題がありました。
しかし、パスキーなら顔や指紋などの生体認証などによる本人確認が多いため、不正利用が困難で、安全にWeb サービスを利用できます。
パスキーの仕組み
パスキーは、認証標準の開発や使用を促進するFIDOアライアンスと、Web技術の標準化を行うW3C（World Wide Web Consortium）が共同で制定した規格です。
以下でパスキーの仕組みを、わかりやすく解説します。
公開鍵暗号方式による認証方法
パスキーの認証技術は、公開鍵暗号方式を採用しています。以下が認証ステップです。
- 秘密鍵と公開鍵をペアで作成
サービス登録時に秘密鍵と公開鍵をペアで作成します。 - サービスのサーバー側に公開鍵を、デバイスのクラウド上に秘密鍵を登録
サービスのサーバーと、ユーザーデバイスのクラウド上それぞれに、ペア鍵の片側のみが保存されます。 - ログイン時に認証要求
サービス等にログインするときは、サービス側からユーザーに認証要求が送信されます。 - ユーザーの認証
サービス側から送られた認証要求に対して、ユーザーは生体認証などで本人確認をします。 - 秘密鍵と公開鍵両方で認証
ユーザーの本人確認がされたら秘密鍵で署名を行い、サービス側に送信します。その後、サービス側は送られた署名を公開鍵で検証し、確認がとれるとログイン成功です。
パスキーを導入するメリット
パスキーを導入するメリットは、以下の3つが挙げられます。
- パスワードより安全性が高い
- パスワードを覚える必要がない
- 複数のデバイスで使えて利便性が高い
それぞれ詳しく説明します。
パスワードより安全性が高い
パスキーは、生体認証を利用したり、公開鍵暗号方式が採用されたりと、不正利用がされにくく安全性が高いです。それぞれのサービスごとにパスキーが自動生成されるため、使いまわしの危険もありません。
また、偽サイトに誘導させてIDやパスワードを入力させるフィッシング詐欺に耐性があります。デバイスやサービス側それぞれに秘密鍵と公開鍵のみ保存されているため、ハッキングされても単体で認証できないハッキング耐性もあります。そして、デバイスを紛失したとしても、ロック解除が本人しかできないため、悪用されにくいです。
パスワード認証で不正利用を不安視しているなら、情報漏洩監視ツール「ダークウェブアイ」を利用することで、メールアドレス等の情報漏洩がないか調べられます。
最新の情報漏洩状況や事例も紹介している資料もあるので、ぜひ一度資料を読んでみてください。
パスワードを覚える必要がない
パスキーの本人確認には、生体認証やパターンなどのロック解除方法で行えるため、パスワードを都度覚える必要がありません。
また、パスワードを入力する手間が省け、ログイン速度の短縮も可能です。
複数のデバイスで使えて利便性が高い
パスキーに使われる秘密鍵はデバイスのクラウド上に保存しているため、複数のデバイスを利用していても、同期して使用できます。そのため、同じアカウントにログインして同期していれば、別のスマホやタブレットなどでも利用でき、ユーザーの利便性が向上します。
パスキーの導入事例
ここでは、FIDOアライアンスが公表している、以下のパスキーの導入効果事例を2つ紹介します。
- お客様問い合わせ件数を約30％減少（KDDI）
- サインイン速度の短縮と成功率アップ（メルカリ）
ぜひ参考にしてみてください。
KDDI：お客様問い合わせ件数を約30％減少
スマホなどの電気通信事業を行うKDDIは、au IDを利用している顧客向けにパスキーを導入し、登録数も1,000万人を突破しています。さらに、KDDIのお客様サポートセンタへの問い合わせ件数が30％近く減少しました。
パスキーの導入で、ユーザー・企業双方の負担減少効果を得られた事例です。
参考:FIDO News Center 2023年にパスキーによるパスワードレスサインインが70億以上のオンラインアカウントで利用可能になり、FIDO認証の採用が急増
メルカリ：サインイン速度の短縮と成功率アップ
フリマアプリで有名なメルカリも、パスキー導入の効果を実感しています。
これまで、サービスにサインインする時間が平均20.5秒だったのに対し、パスキー導入により4.4秒まで短縮できたからです。
また、サインイン成功率も15％アップの82.5％と、ユーザーの利便性を高められた結果も出しています。2024年1月には、メルカリの全てのログインで、生体認証によるパスキー導入を発表しています。
参考：メルカリプレスリリース「メルカリ、すべてのログインに 生体認証「パスキー」を導入」
パスキーを利用する時の注意点
パスキーは簡単で安全性が高い認証方法ですが、利用する際には以下の点に注意が必要です。
- パスキー対応サービスが少ない
- 同じOSのデバイス間のみ同期可能
- 共有デバイスでパスキー設定しない
詳しく説明します。
パスキー対応サービスが少ない
パスキーはまだ普及期の新しい技術のため、業界や社会全体に広まっていません。大手Webサービス系などは対応していますが、まだ少ないのが現状です。パスキー対応できていないアプリやWebサービスの方が多いため、全てのサービスで利用できるとは限りません。
同じOSのデバイス間のみ同期可能
パスキーは、OSが違うデバイスでは同期ができないため利用できません。例えば、Androidのスマホでパスキー設定した後、Macでは同期して使えません。
パスキーの秘密鍵はOSのクラウド上に保存されるため、同じOSのデバイスなら、複数の端末で同期して利用可能です。もし、所持している複数のデバイスのOSが異なる場合は、デバイスごとにパスキー設定をしておくと良いでしょう。
共有デバイスでパスキー設定しない
他の人と共有して使っているデバイスで、パスキーの設定はやめましょう。共有デバイスだと、他人が使用した場合でもデバイスの本人認証ができてしまい、パスキーが別の人でも使えてしまうからです。パスキー設定は、必ず個人所有のスマホやPCのみで行いましょう。
デバイス別のパスキー設定方法
パスキーはデバイスごとに設定できます。デバイスに生体認証のパスキー登録をしておけば、新しくWebサービスを利用する際に、登録したロック解除方法のみで素早くログインが可能になります。
ここでは、OSごとの生体認証等のパスキー設定について紹介します。OS別で設定方法が異なるため、以下の順にそれぞれ説明します。
- Androidデバイスの設定方法
- iOSデバイスの設定方法
- Windowsデバイスの設定方法
Androidデバイスの設定方法
Googleが提供しているAndroidの場合は、Android9以降のスマホからパスキーの設定が可能です。設定方法は以下の通りです。
- Chomeを開き、Googleアカウントのパスキー作成ページを開く
- 「パスキーを設定する」をタップ
- 画面表示に従って操作し、「ログインにパスキーを使用できるようになりました」と表示される
- 「完了」をタップして終了
- 【サービス利用時】パスキー対応のサービスに新規登録かログインした際、画面表示に従ってログイン方法をパスキー利用に設定する
iOSデバイスの設定方法
Appleが提供しているiOSは、iOS16以降のバージョンでパスキー設定ができるようになりました。すでにFace IDやTouch IDを登録していれば、Webサービス利用時にパスキーとして利用ができます。
Face IDとTouch IDの設定方法は以下の通りです。
- 「設定」をタップ
- スクロールして、「Face IDとパスワード」または「Touch IDとパスワード」をタップ
- 画面表示に従って操作し、Face IDかTouch IDを設定
- 【サービス利用時】パスキー対応のサービスに新規登録かログインした際、画面表示に従ってログイン方法をパスキー利用に設定する
参考:iPhone や iPad Pro で Face ID を使う
iPhone や iPad で Touch ID を使う
Windowsデバイスの設定方法
Microsoftが提供しているWindowsも、パスキー設定が可能です。対応しているデバイスは、Windows10以降になります。設定方法は以下の通りです。
- Microsortアカウントの「高度なセキュリティオプション」にサインイン
- 「新しいサインイン方法の追加」または「確認」をタップ
- 「顔・指紋・PIN・セキュリティキー」を選択
- デバイスの表示画面に従って操作
- パスキーの名前を指定
- 【サービス利用時】パスキー対応のサービスに新規登録かログインした際、画面表示に従ってログイン方法をパスキー利用に設定する
まとめ
パスキーとは、パスワードに代わり簡単で安全な新しい認証方法です。認証方法は公開鍵暗号方式を採用し、ユーザー側やサービス側どちらかがハッキングされても、単体で認証ができないため安全性が高いのが特徴です。
パスキーの導入により、ユーザーはパスワードを覚えていなくてもすぐにWebサービスにログインできるメリットがあります。また、ログイン時間も短縮でき、実際にユーザーの利便性が向上した事例も紹介しました。
しかし、パスキーはデバイスのクラウド上に秘密鍵が保存されるため、OSをまたいで同じパスキー利用ができないなど、いくつか注意点があります。
パスキーは便利かつ安全性が高いため、今後さらに普及することが見込まれます。お持ちのデバイスでまだパスキー設定をしていない場合は、今回紹介したデバイスごとの設定方法を参考にして、ぜひ実行してみてください。
最新の脅威動向やセキュリティ対策、セキュリティ用語を1冊にまとめた「セキュリティ大全」を配布しております。ぜひダウンロードいただき、貴社のセキュリティ対策の参考にしてください。
