パスキーは、サイトへ秘密の文字列を入力する代わりに、公開鍵暗号を使って本人であることを示す仕組みである。覚える文字列が減るだけでなく、偽サイトへ認証情報を渡しにくい構造を持つ。
秘密を送らずに、持っていることを示す
登録時には公開鍵と秘密鍵の組を用意し、サービス側へ公開鍵を登録する。ログイン時には、サービスからの要求に対し、端末などが秘密鍵を使って署名する。サービスは公開鍵でその正しさを確認する。
秘密鍵そのものを毎回サービスへ送る必要はない。端末上の生体認証やPINは、鍵を使う操作を許可するために使われる。通常、生体情報をログイン先へ渡して照合する仕組みではない。
偽サイトで使いにくい理由
パスキーによる認証は、対象サービスの識別情報と結び付いている。よく似た見た目の偽サイトを開いても、別のサイトとして扱われるため、本物のサービス向けの認証をそのまま成立させにくい。
同じパスワードを複数のサイトで使い回す問題も避けられる。あるサービスで情報が流出した場合の影響を、他のサービスへ広げにくい設計である。
端末を失った後の戻り方も重要になる
パスキーには、特定の機器に保存するものと、提供事業者の仕組みで複数端末へ同期するものがある。使える端末、移行方法、復旧手順が異なるため、登録した後の扱いも確認する必要がある。
サービスが弱い本人確認でアカウントを復旧できるなら、その経路が攻撃対象になる。端末の保護やセッションの管理も必要である。ログイン方式だけでなく、紛失、交換、復旧まで含めて認証を設計する。
端末を解除するPINと、ウェブサイトへ送るパスワードは役割が異なる。パスキーを使っても、解除済み端末やログイン済みセッションの保護は必要になる。
参考資料
参考資料確認日：2026年10月13日。