パスキーとは？パスワードとの違いと安全にログインできる仕組みを解説

Webサイトやアプリへログインするとき、「パスキーを作成しますか？」と表示される機会が増えています。しかし、パスワードと何が違うのか、顔認証や指紋認証そのものがパスキーなのか、分かりにくいと感じる人もいるでしょう。

パスキーは、覚えて入力する文字列ではなく、公開鍵暗号を利用して本人確認するための認証情報です。パスワードのように「秘密の文字列」をWebサイトへ送るのではなく、端末側にある秘密鍵を使ってログインを証明します。

この仕組みによって、パスワードの使い回しが起きず、偽サイトへ認証情報を入力させるフィッシング攻撃にも強くなっています。この記事では、パスワードとの違いから、顔認証・PINとの関係、パスキーが保存される場所、利用するときの注意点まで順番に解説します。

1 パスキーとは？パスワードを入力せずにログインできる認証方式
- 1.1 パスキーは覚えて入力する「文字列」ではない
- 1.2 アカウントとWebサイトごとに作られる認証情報
2 パスキーとパスワードは何が違う？
3 パスキーでログインできる仕組み
4 パスキーがパスワードよりフィッシングに強い理由
5 顔認証・指紋認証・PINとパスキーは何が違う？
6 パスキーはどこに保存される？パスワードマネージャーとの関係
7 パスキーを設定するとパスワードは不要になる？
8 パスキーを使うときに知っておきたい注意点
9 パスキー対応サービスなら利用する価値は高い

パスキーとは？パスワードを入力せずにログインできる認証方式

パスキーは、Webサイトやアプリのアカウントへログインするために使う認証情報です。

FIDO Allianceが策定に関わるFIDO2の技術が使われており、Web上ではWebAuthnと呼ばれる標準を通して利用されます。詳しい技術仕様を覚える必要はありませんが、従来のパスワードとは「本人であることを証明する方法」が大きく異なります。

パスキーの基本的な仕組みについては、FIDO AllianceのPasskeys解説でも確認できます。

パスキーは覚えて入力する「文字列」ではない

パスワードの場合は、「abc123」のような文字列を利用者が覚えたり、パスワードマネージャーに保存したりして、ログイン時にサービスへ送信します。

一方、パスキーでは、利用者が秘密の文字列を覚えて入力する必要がありません。

端末やパスワードマネージャーなどに保存された暗号鍵を使い、顔認証・指紋認証・PINなどで利用を許可してログインします。

アカウントとWebサイトごとに作られる認証情報

パスキーは、1つの共通パスキーを複数のWebサイトで使い回す仕組みではありません。

WebAuthnでは認証情報が特定のWebサイトやサービスに対応するよう作られます。そのため、あるサービス用に作成したパスキーを、そのまま別のサービスへ使い回すことはありません。

ここが、同じパスワードを複数サイトへ設定できてしまう従来方式との大きな違いです。

パスキーとパスワードは何が違う？

パスキーとパスワードの違いを簡単に整理すると、次のようになります。

比較項目	パスワード	パスキー
認証に使うもの	文字列	公開鍵暗号による認証情報
覚える必要	自分で管理する場合は必要	基本的に不要
秘密情報の扱い	ログイン時に入力する	秘密鍵そのものはサービスへ送らない
使い回し	利用者が設定できてしまう	サービスごとに異なる
フィッシング	偽サイトへ入力してしまう危険がある	正しく実装されていれば強い耐性がある

パスワードは「知っている秘密」を入力して確認する

パスワード認証では、本人とサービス側の双方が「正しいパスワードかどうか」を確認できる仕組みになっています。

サービス側では通常、パスワードそのものを平文で保存するのではなく、ハッシュ化した情報などを使って照合します。それでも、利用者がログイン画面へパスワードを入力するという点は変わりません。

そのため、本物そっくりの偽サイトに気付かずパスワードを入力すると、入力した内容を攻撃者へ渡してしまう可能性があります。

パスキーは秘密鍵を端末側に残したまま本人確認する

パスキーでは、ログインに使う鍵を「公開鍵」と「秘密鍵」のペアに分けます。

サービス側へ登録されるのは公開鍵で、ログインに重要な秘密鍵は利用者側で管理されます。

ログイン時にも秘密鍵そのものをWebサイトへ送信しません。この違いが、パスワード認証とパスキー認証を理解するうえで最も重要な部分です。

パスキーはサイトごとに異なるため使い回しが起きない

パスワードでは、同じ文字列をメール、通販サイト、SNSなど複数のサービスへ登録することができます。

これを繰り返すと、1か所から認証情報が漏れたとき、別のサービスでも同じ組み合わせを試される「パスワードリスト型攻撃」につながります。

パスキーではサービスごとに異なる認証情報が作られるため、「同じパスキーを複数サイトへ使い回す」という状態が基本的に生じません。

パスワードの使い回しによるリスクについては、Googleアカウント使い回しの危険性とは？知っておくべきリスクと安全な利用法でも詳しく解説しています。

パスキーでログインできる仕組み

顔認証をしただけでWebサイトへログインできると、「顔の情報をサイトへ送って本人確認しているのでは？」と思うかもしれません。

実際には、顔や指紋そのものを使ってWebサイトへ本人であることを証明しているわけではありません。

登録時に「公開鍵」と「秘密鍵」のペアを作る

パスキーを作成するとき、端末や認証器によって公開鍵と秘密鍵のペアが生成されます。

公開鍵：Webサイトやサービス側へ登録する
秘密鍵：利用者側の端末やパスキーを管理する仕組みで保持する

公開鍵は、それだけ知られても秘密鍵の代わりにはなりません。サービス側にある公開鍵だけを使って、利用者になりすましてログインすることはできません。

ログイン時は秘密鍵を送らずにデジタル署名する

ログインすると、サービス側からそのログインごとに確認用のデータが送られます。

利用者側では、顔認証・指紋認証・PINなどによってパスキーの利用を許可し、秘密鍵を使って確認用データに暗号学的な署名を行います。

サービス側へ返されるのは、この署名などログイン確認に必要な情報であり、秘密鍵そのものではありません。

サービス側は保存している公開鍵で本人か確認する

サービス側は、登録時に受け取った公開鍵を使い、返ってきた署名が正しいか確認します。

正しい秘密鍵を持つ側でなければ、有効な署名を作ることができません。

利用者から見ると「Face IDを使っただけ」「PINを入力しただけ」に見えますが、その裏側では公開鍵暗号を使った本人確認が行われています。

パスキーがパスワードよりフィッシングに強い理由

パスキーの大きなメリットの一つが、フィッシング攻撃への耐性です。

米国国立標準技術研究所（NIST）も、パスワードはフィッシング耐性を持たない一方、WebAuthnのように認証先と暗号学的に結び付いた方式をフィッシング耐性のある認証の例として説明しています。詳しくはNIST SP 800-63Bの認証器に関する説明で確認できます。

偽サイトへ入力して盗まれる秘密情報がない

パスワードを狙うフィッシングでは、本物そっくりのログイン画面を作り、利用者自身にIDやパスワードを入力させる方法が使われます。

パスキーでは、利用者が「秘密鍵」という文字列を見て入力する操作がありません。

そのため、パスワードのように「秘密情報を偽サイトへ手入力して渡してしまう」という攻撃が成立しにくくなります。

パスキーは利用するWebサイトのドメインと結び付いている

WebAuthnの認証情報は、特定のRelying Party（認証先）に対応するよう作られます。

簡単にいえば、正規サイト用のパスキーは、まったく別の偽サイトで自由に使えるものではありません。

利用者がURLの違いを見破ることだけに頼らず、認証の仕組みそのものによって偽サイトでの悪用を防ぎやすくしているのがパスキーの特徴です。

サービス側から情報が漏れても秘密鍵は保存されていない

パスキーを利用するサービス側には、本人確認に使う公開鍵が登録されます。

利用者側の秘密鍵そのものをサービス側へ預ける仕組みではないため、サービス側に保存されている公開鍵が知られたとしても、それだけでログインに必要な署名を作ることはできません。

ただし、パスキーを使えばサービス全体の情報漏えいが起きなくなるという意味ではありません。ログイン後のセッションやサービス内に保存された個人情報など、認証とは別の部分には引き続き安全対策が必要です。

顔認証・指紋認証・PINとパスキーは何が違う？

パスキーを利用すると、Face ID、Touch ID、Windows Hello、Androidの指紋認証、PINなどが表示されることがあります。

このため「顔認証＝パスキー」と思いやすいのですが、それぞれの役割は異なります。

顔や指紋はパスキーそのものではない

顔認証や指紋認証は、端末を使っている人が本人か確認し、保存されているパスキーの利用を許可するために使われます。

Googleも、Googleアカウントでパスキーを使う場合、指紋や顔の生体認証データは端末に保存され、Googleとは共有されないと案内しています。確認したい場合はGoogleアカウントのパスキー公式ヘルプを参照できます。

顔や指紋のデータをWebサイトへ送って照合してもらっているわけではありません。

PINは端末内のパスキーを使うための本人確認にも使われる

生体認証を使わない場合、端末のPINなどでパスキーの利用を許可できることがあります。

ここで入力するPINは、Webサイトのパスワードとしてサーバーへ送るものとは役割が異なります。

PINは端末側で本人確認を行い、端末内または資格情報マネージャーにあるパスキーを利用できる状態にするために使われます。

生体認証データがWebサイトへ送信されるわけではない

パスキーを使ったログインでWebサービスが必要としているのは、指紋画像や顔の画像ではなく、登録済みの公開鍵に対応する有効な認証結果です。

「パスキーを使うと顔や指紋をWebサイトへ登録することになる」という理解は正確ではありません。

パスキーはどこに保存される？パスワードマネージャーとの関係

「パスキー」という名前から、スマホのどこかに特殊な文字列が保存されているように感じるかもしれません。

実際には、利用環境によってパスキーの保存・管理方法が異なります。

パスキーは端末や資格情報マネージャーに保存できる

代表的な保存先には、Google パスワードマネージャー、AppleのiCloudキーチェーンや「パスワード」アプリ、Microsoft Password Manager、Windows Hello、対応する第三者製パスワードマネージャー、FIDO2対応セキュリティキーなどがあります。

Microsoftも現在、Microsoft Password Managerのほか、Google パスワードマネージャー、Apple iCloudキーチェーン、Windows Hello、物理セキュリティキーなどをパスキーの保存先として案内しています。詳細はMicrosoftのパスキー保存方法で確認できます。

「パスワードマネージャー」という名称でも、現在はパスワードだけでなくパスキーを管理できるものが増えています。