Passkey（パスキー）

パスキーとは

パスキーとは、パスワードに置き換わるFIDO認証資格情報です。
ユーザーのデバイスを問わず、ウェブサイトやアプリケーションへのより速く、簡単、安全なサインインを提供するパスワードの代替品です。

パスキー認証の仕組み

パスキー認証は公開鍵暗号方式に基づいています。パスキーでウェブサイトにサインインする際には、サーバーからのチャレンジをデバイス内に保存された秘密鍵で署名し、サーバーに送信します。サーバーは事前に登録してあった、署名に用いた秘密鍵の対となる公開鍵で署名の検証を行うことで認証します。
デバイス内に保存された秘密鍵で署名する際に、PCやスマホであればそのデバイスに搭載のロック解除機能（Windows Hello、Face IDなど）で本人確認を行います。本人検証はローカルで行い、サーバー側では署名検証のみを行うため、認証資格情報を窃取するようなフィッシング攻撃に耐性があります。

パスキーのメリット

パスキーはパスワードに代わるもので、アプリやウェブサイトへのサインインをより速く、簡単に、そしてより安全に行うことができます。
パスキーは、認証に必要な認証資格情報がデバイスのみに保存されオンラインに流れないため、フィッシング耐性があります。
また、耐タンパー性に優れた領域（TPMやSE※）に秘密鍵を保持しているため、デバイスを攻撃して認証情報を盗むハッキングに耐性があり、さらにサーバーには公開鍵しか保存していないため、サーバーから認証情報を搾取（ハッキング）が難しいです。
デバイスを紛失したとしても、秘密鍵にアクセスするにはそのデバイスのロックを解除しないといけないので、悪用されにくいという利点があります。

※TPM（Trusted Platform Module）：セキュア暗号化プロセッサの国際標準のことです。暗号鍵の生成などの処理を行う専用のプロセッサであり、PCのマザーボードなどに搭載され運用されます。パスワードや暗号鍵の保存・処理に用いられ、Webや外部からの不正アクセスを遮断します。

※SE（Secure Enclave）：iOS/iPadOSデバイス、MacのTouch IDあるいはFace ID対応モデルのApple A7, T1以降、Apple TV、Apple Watch、HomePod に搭載されているセキュリティコプロセッサです。指紋データや顔認証データは、Secure Enclave内に保存され、インターネット経由やApp経由(システム含む)からはアクセスが不可能になっています。