パスキーは、パスワードの代わりに、端末に保存された「鍵」と指紋・顔・PINの確認でログインする仕組みです。業界団体FIDOアライアンスなどが標準化を進めており、大手のサービスで対応が広がっています。覚える文字列がなく、偽サイトでは使えないため、パスワードより安全性が高いとされています。
安全な理由
- サーバーには「公開鍵」しかない：サービス側から漏れても、それだけではログインできない
- 本物のサイトでしか使えない：鍵がサイトのドメインと結びついているので、偽サイトに入力させられることがない（フィッシングに強い）
- 使い回しが起こらない：サービスごとに別の鍵が自動で作られる
パスワード・2段階認証との比較
| 方式 | 漏洩への強さ | 偽サイトへの強さ |
|---|---|---|
| パスワードだけ | 弱い | 弱い |
| パスワード＋SMS・認証アプリ | 強い | 中（コードを偽サイトに入力させる手口がある） |
| パスキー | 強い | 強い |
使い始めるときの注意
- パスキーは、OSのアカウント（iCloudキーチェーン、Googleパスワードマネージャーなど）やパスワードマネージャーで同期・バックアップされるものが多い。その親アカウントの守りを固める
- 端末をなくしたときの回復手段（別の端末、回復コード）を用意する
- パスキーを作っても、古いパスワードでのログインが残るサービスもある。そのパスワードも強いものにしておく
出典：FIDO Alliance「Passkeys」、内閣サイバーセキュリティセンター「インターネットの安全・安心ハンドブック」