パスキー とは？

覚えた文字列を相手に送る代わりに、秘密鍵で署名を作り、ログイン先が登録済みの公開鍵で確認するんだ。指紋や顔、PINなどは、その鍵を使ってよいか端末で確認する手段。生体認証が必須なわけではなく、指紋や顔のデータをログイン先へ送る仕組みでもないよ。

認証情報が登録先に結び付いているので、別のドメインの偽サイトはそのサイト用のパスキーを使えないんだ。秘密鍵をログイン先へ渡す代わりに署名を送るよ。ただし、どんな詐欺やアカウント侵害もなくなるという意味ではない。端末やアカウント回復の保護も必要なんだ。

同期型なら同じパスキー管理サービスを使う新しい端末で利用できる場合があるよ。でも端末固定型やセキュリティキーの鍵が、必ずクラウドから復元されるわけではない。同期の設定・管理サービスへのアクセス・サイトの回復方法を確認し、対応していれば別の鍵も登録しておくんだ。

利用するサイトやアプリ、端末、ブラウザ、パスキー管理サービスの対応を確認する必要があるよ。基盤にはFIDO2のWebAuthnやCTAPがある。対応していても同期や別端末での利用、回復の手順は環境によって違うので、全部のサイトで同じ使い方になるわけではないんだ。

サーバーが出したチャレンジなどに結び付く署名を、登録済みの公開鍵で検証するんだ。ログイン先へ秘密鍵を保存させないので、そのデータベースからパスキーの秘密鍵が漏れる仕組みではない。ただし公開鍵以外の利用者情報も保存するし、同期型の鍵は管理サービスを介して端末間で同期される。「秘密鍵は必ず一台から出ない」とは言えないよ。