パスキーとは
パスキーとは、FIDO2/WebAuthn規格に基づく「パスワード不要」の認証方式です。スマホやPCの生体認証（指紋・顔認証）やPINでログインが完了し、パスワードを覚える必要がありません。Apple、Google、Microsoftの3社が共同で推進しており、フィッシング攻撃に対して極めて強い耐性を持つ次世代のログイン技術として、対応サービスが急速に広がっています。
詳しい解説
パスキーの仕組み
パスキーは公開鍵暗号方式を基盤としています。サービスへの登録時に、端末内で秘密鍵と公開鍵のペアが生成されます。秘密鍵は端末のセキュアな領域（iPhoneならSecure Enclave、AndroidならTitan M2チップなど）に保管され、外部に出ることはありません。ログイン時はサービスがチャレンジを送り、端末が秘密鍵で署名して応答することで認証が成立します。パスワードそのものがネットワーク上を流れないため、盗聴やフィッシングのリスクがありません。
パスワードとの違い・メリット
パスワードはユーザーが記憶しサーバーに保存される「共有の秘密」ですが、パスキーは秘密鍵が端末から出ない「非対称鍵」のため、サーバー側の情報漏洩があっても秘密鍵は安全です。パスワードの使い回し問題、フィッシング被害、ブルートフォース攻撃のすべてを根本的に解消できます。パスワードマネージャーはパスワード管理を楽にする便利ツールですが、パスキーはパスワードという概念自体を置き換える仕組みです。
パスキーの同期と共有
AppleのiCloudキーチェーン、Googleパスワードマネージャー、Microsoftアカウントなど、各プラットフォームがパスキーの同期機能を提供しています。同じApple IDのiPhoneとMac間でパスキーが自動同期されるため、デバイスを買い替えても引き継ぎが容易です。ハードウェアセキュリティキーにパスキーを保存する選択肢もあり、特定のデバイスに紐付けない運用も可能です。
選び方のポイント
1. まずは対応サービスから使い始める
Google、Apple、Microsoft、GitHub、Amazon、PayPalなど、パスキー対応のサービスは増え続けています。まずはよく使うサービスでパスキーを設定してみましょう。パスワード認証も併用できるため、段階的に移行できます。
2. 同期の仕組みを理解する
iCloudキーチェーンで同期するパスキーはAppleデバイス間でのみ利用可能、GoogleパスワードマネージャーはAndroidとChromeで利用可能です。複数のプラットフォームを使い分けている場合は、1Password、Bitwardenなどのクロスプラットフォーム対応のパスワードマネージャーでパスキーを管理するのが便利です。
3. リカバリー手段を確保する
パスキーを保存したデバイスを全て紛失すると、パスキーでのログインができなくなります。複数のデバイスにパスキーを登録しておく、バックアップ用にセキュリティキーを設定しておくなど、リカバリー手段を事前に用意しておきましょう。
まとめ
パスワードに代わる次世代の認証技術として、パスキーは利便性とセキュリティを両立しています。対応サービスが急速に広がっているので、今のうちに仕組みを理解して設定を始めておくのがおすすめです。パスワード管理の煩わしさから解放される未来は、すぐそこまで来ています。