Googleは現在、全世界で約20億人に上るGmailユーザーに「パスワードの時代は終わった」と警告し、 パスキーへの切り替えを強く推奨しています。 実際、Forbesは「Googleが20億人のユーザーに『今すぐパスワードをパスキーへ切り替えるよう勧告』」 と報じ(Forbes(フォーブス))、FIDO AllianceやTechloyなど複数の専門メディアも、Googleがパスキー移行を 「かつてない規模で呼びかけている」と伝えています。 【出典】Forbes:Replace Your Gmail Password Now, Google Tells 2 Billion Users – Forbes(2025年6月16日)
証券大手10社は、指紋や顔といった生体情報などを活用し、安全性が高いとされる 認証の仕組み「パスキー」を来春までに導入する方針を固めた。 インターネット上で証券口座が乗っ取られ、不正に株を売買される被害が相次いでいる ため、対策を強化する。利用者への啓発が課題となりそうだ。
パスキー認証とは、パスワードに代わる、より安全で簡単な次世代の認証方式です。 スマートフォンの生体認証(指紋、顔)やPINコードなど、デバイスに搭載された認証情報を 使って本人確認を行うため、パスワードの漏えいやフィッシング詐欺のリスクが大幅に軽減 されます。 パスワードを覚える必要がないため、ログインの手間も省けます。 ○パスキー認証の仕組みと特徴 ・公開鍵・秘密鍵のペア:パスキーは「公開鍵」と「秘密鍵」という2種類の鍵のペアで認証を行います。 ・公開鍵:サービス提供側のサーバーに保管されます。 ・秘密鍵:ユーザーのデバイス(スマートフォンやPCなど)にのみ安全に保管され、外部に漏れることはありません。 ○本人認証:ログイン時には、サービス側が送る認証要求に対して、ユーザーがデバイスの生体認証やPINコードでロックを解除します。 ・認証に成功すると、デバイスが秘密鍵を使って署名を生成し、サーバーに送信します。 ・サーバーは、受け取った署名を公開鍵で検証し、本人確認を行います。 ○パスワードとの違い: セキュリティ:サーバーにパスワードを送信しないため、フィッシング詐欺やパスワードの漏洩リスクがありません。 利便性:複雑なパスワードを覚える必要がなくなり、指紋や顔、PINなどでスムーズにログインできます。 多要素認証:パスキー自体が多要素認証の役割を果たすため、ワンタイムパスワードなどの追加認証が不要になる場合もあります。 ○対応しているデバイスとブラウザ ・OS: Windows、macOS、iOS、Androidといった主要なOSで対応しています。 ・ブラウザ: Google Chrome、Microsoft Edge、Safariなどの主要なブラウザも対応しています。参考URL:https://chiilabo.com/2024-08/passkey-mechanism-basis/ リンク
デバイスにバインドされたパスキーは、セキュリティキーと呼ばれる外部ハードウェアデバイスに保存され、そこからアクセスされます。 これらのパスキーはFIDO認証資格情報であり、発行されたデバイスから外部に持ち出すことはできません。 これらのパスキーはFIDOセキュリティキーまたはプラットフォームにバインドされており、デバイス間で同期することはできません。 物理的なセキュリティキーまたはデバイスには、複数の単一デバイスパスキーを保存でき、ユーザーのさまざまなデバイスで使用できます。 セキュリティキーは、製造元と特定のファームウェアバージョンを暗号的に証明する構成証明書を提供できます。この証明書は、認証器構成証明書グローバル一意識別子(AAGUID)を提供します。 この識別子を使用して、FIDOメタデータサービスにクエリを実行し、証明書利用者がアクセスポリシーの決定に使用できる認証レベルなどの情報を取得できます。
同期されたパスキーは、ユーザーの複数のデバイス間で同期されます。 パスキーは、Apple Passwords、Google Password Manager、1Password、Dashlane、LastPassなどのパスワード管理ツールまたは認証情報管理ツールに安全に保存されます。 ユーザーは、すべてのアカウントですべてのデバイスを再登録することなく、新しいデバイスも含め、多くのデバイスで同期されたパスキーにアクセスできます。○クロスデバイス認証:
クロスデバイス認証を使用すると、パスキーを持たないデバイス(ノートパソコン、デスクトップパソコン、モバイル端末など)で、 パスキーを持つ別のデバイス(モバイル端末など)を使用してサインインできます。 詳細については、「クロスデバイス サインイン」を参照してください。※クロスデバイスサイン
・ユーザーが手動でパスワードを入力したり、ラップトップ/デスクトップで追加の認証手順を実行したりする必要性を減らします。 ・パスワード フィールドを削除し、自動入力をサポートします。 ・再認証やパスキーの再設定をすることなく、ユーザーがデバイスを切り替えることができるようにします。 ・デバイス間でのパスキーの同期またはサインインが失敗した場合の状況に対処するために、他のサインイン方法への正常なフォールバックをサポートします。 ・個人認証デバイス (スマートフォン) とアクセスされるデバイス (公共/共有ラップトップ) の分離をサポートします。
| 使用デバイス | 生体認証 | その他条件 | クロスデバイス 認証 |
|---|---|---|---|
| Windows10 マシン | 指紋認証/PIN WindowsHello | Bluetoothあり | ○ |
| Windows11 マシン | PIN WindowsHello | 生体認証なし Bluetoothなし | X |
| Android GooglePixel6a | 指紋認証/PIN デバイスロック | Bluetoothあり | ○ |
| 用語 | 意味 | 補足 | 備考 |
|---|---|---|---|
| 二段認証 | 多要素認証/多段認証とも言われます id/passに加えてワンタイムパスワードを要求 | 例えばメール/スマホで表示された確認コードの入力 | リアルタイムフィッシング詐欺には十分に対応でていない |
| パスキー認証 | パスワードレス認証とも言われます パスワードの代わりに生体認証等を行う 技術基盤は公開鍵暗号化方式です | デバイス側に秘密鍵、サービス側に公開鍵を保持する | リアルタイムフィッシング詐欺に対応可能 |
| 公開鍵暗号化方式 | 従来の共通鍵暗号化方式(暗号化も復号化も同一鍵を使用します)よりもより強固です。 公開鍵暗号化方式では、公開鍵で暗号化して秘密鍵で解読します、あるいはその逆です | インタネット上の安全な通信 (SSL/TLS) マイナンバーカードでも使用されています | |
| パスキーの種類 | 「デバイスバウンドパスキー(固定型)」と 「同期パスキー(同期型)」の2種類があり | ||
| デバイスバウンドパスキー | デバイス固有のキーでデバイスに登録されます 例えばWindowsHello | 安全性が高いが 実用上は不便となる PC/スマホで利用する場合、各々で登録が必要 | |
| 同期パスキー | 各サイトのパスワードマネージャで管理される、デバイス間の同期を行います | 安全性は相対的に低くなるが、実用上は便利 例えばスマホで登録するとPCでも使用できる | |
| パスワードマネージャ | パスワードを管理(同期)する Googleパスワードマネージャ/AppleのiCloudキーチェーン /Microsoft パスワード マネージャー等 サードパーティでは「1Password」「Bitwarden」が有名です | ||
| Googleパスワードマネージャ | Android や Chrome に保存したパスワードを管理できます。 パスワードは Google アカウントに安全に保存され、すべてのデバイスでご利用いただけます。 | AppleのiCloudキーチェーン/Microsoft パスワード マネージャーとは互換性無し | |
| マネージャ名 | 主な特徴 | メリット | デメリット |
|---|---|---|---|
| Google (Googleパスワードマネージャ) |
Chromeブラウザ、Androidとの連携が非常に強力。 | * 無料で利用可能で導入が簡単。 * Chrome/Android間での同期と自動入力がシームレス。 * Googleアカウントの多要素認証がセキュリティを担保。 |
* Googleエコシステムへの依存が強い(ロックイン)。 * SafariやFirefoxなどの他ブラウザでの連携がシームレスではない。 * パスワード以外の機密情報(ライセンスキー等)の管理機能が不足している。 |
| Apple (iCloudキーチェーン) |
Apple製品(Mac/iPhone/iPad)との連携が非常に強力。 | * Appleデバイス間で極めてシームレスな自動入力。 * 最新のセキュリティ技術が適用されている。 * Appleユーザーにとっては手間なく安全に利用できる標準機能。 |
* Appleエコシステムへの依存が強い。 * WindowsやAndroidなどの非Appleデバイスでの利用に制約がある。 * パスワードの基準調整ができず、一部のサイトで強力なパスワード生成が不便な場合がある。 |
| Microsoft (Microsoft Edge パスワードマネージャ) |
Edgeブラウザ、Windowsとの連携が強力。 | * Edgeブラウザユーザーは無料で手軽に利用可能。 * Windowsデバイス間での同期が可能。 * Microsoftアカウントのセキュリティで保護される。 |
* ブラウザ依存が強く、Edge以外での利用に制約がある。 * 専用のパスワードマネージャアプリと比較して機能が限定的な場合がある。 * パスワードの保存先であるクラウドサービス(サーバー同期)侵害のリスクが伴う。 |
著者:志村佳昭(株式会社トリニタス 技術顧問)