パスキー（Passkey）とは
パスキーとは
パスキーとは、パスワードに代わる新しい認証資格情報です。FIDO認証仕様に基づく公開鍵暗号方式の認証資格情報を「パスキー」と言い、それを用いた認証方式を「パスキー認証」と呼びます。パスキー認証を使えば、ユーザーはWebサイトやアプリケーションへ簡単かつ安全にサインインできます。
FIDO認証・パスキー・FIDO2の違い
様々なWebサービスで「FIDO認証」や「パスキー」を見かけるようになりました。また「FIDO2」を見かけることもあります。これらは指している概念が異なります。
- FIDO認証：パスワードレス認証を目指す、公開鍵暗号を用いた技術の総称でありコンセプトです。非営利団体FIDOアライアンスが推進しており、FIDO2、U2F、UAFの3つの仕様があります。
- FIDO2：FIDO認証仕様の1つです。認証仕様（WebAuthn）とデバイス間連携仕様（CTAP）から構成され、標準仕様を定めています。
- パスキー：FIDO2の仕様に沿って認証を行うための資格情報です。
- パスキー認証：パスキーを使った認証を指します。パスキー認証ができるということは、FIDO2に沿ったパスワードレス認証ができるということです。
パスワードの限界とパスキー認証が求められる背景
パスワードのセキュリティリスク
パスワードはユーザーが推測しやすい文字列を設定しがちな上、複数サービス間での使い回しも頻発しています。その結果、総当たり攻撃やフィッシング攻撃で認証が突破されやすく、個人情報や企業の機密情報が多大なリスクに晒されています。
パスワードの運用負担
複雑なパスワードの管理、定期的な変更作業、パスワード忘れによるリセット対応など、ユーザーとシステム管理者の双方にとって大きな負担となっていました。
こうした脆弱性と運用負荷を同時に解消し、強固なセキュリティと利便性を両立する手段として、パスキー認証が注目を集めています。
パスキー認証の仕組みとメリット
パスキー認証は公開鍵暗号方式に基づいています。パスキーでサインインする際は、サービスから送られるチャレンジに対してデバイス内の秘密鍵で署名し、サーバーへ送信します。サーバーはあらかじめ登録されている公開鍵で「署名の検証」を行い、認証を完了します。
つまり、ネットワーク上には署名情報のみが流れるということであり、通信の傍受による認証情報の漏洩リスクを根本から排除できるのです。
フィッシング耐性
仮にユーザーが偽サイト（フィッシングサイト）へアクセスし、そこから認証リクエストが送られた場合はどうなるでしょうか。この場合も問題ありません。パスキーには認証対象となる正規サイトの識別子が含まれており、認証器が偽のリクエストに応答しない仕組みになっているためです。
高いハッキング耐性
パスキーの秘密鍵は、耐タンパー性に優れた安全な領域（TPMやSE）に保管されるため、デバイスへの攻撃による情報窃取に極めて強い耐性を持ちます。万が一デバイスを紛失しても、画面ロックを解除し生体情報（指紋、顔）か知識情報（PIN）を入力しなければ秘密鍵にはアクセスできません。また、サービス側のサーバーには公開鍵しか保存されないため、サーバー攻撃によって秘密鍵が漏洩する心配もありません。
- TPM（Trusted Platform Module）：セキュア暗号化プロセッサの国際標準のことです。暗号鍵の生成などの処理を行う専用のプロセッサであり、PCのマザーボードなどに搭載され運用されます。パスワードや暗号鍵の保存・処理に用いられ、Webや外部からの不正アクセスを遮断します。
- SE（Secure Enclave）：iOS/iPadOSデバイス、MacのTouch IDあるいはFace ID対応モデルのApple A7, T1以降、Apple TV、Apple Watch、HomePod に搭載されているセキュリティコプロセッサです。指紋データや顔認証データは、Secure Enclave内に保存され、インターネット経由やApp経由(システム含む)からはアクセスが不可能になっています。
デバイスの紛失や機種変更への備え：「同期可能なパスキー」と「端末に紐づくパスキー」の違い
パスキーには大きく分けて2つのタイプが存在します。
- 同期可能なパスキー：iCloudキーチェーンやGoogleパスワードマネージャーなどを介し、複数デバイス間でパスキーが同期されます。端末の変更や紛失時の移行がスムーズです。
- 端末に紐づくパスキー：特定デバイス内のみにパスキーを保持します。認証に使用するパスキーが「その1台だけに存在する」と特定できるメリットがあります。USBタイプのセキュリティキーであればスマートフォンの新規購入よりも安価に導入可能です。
基本的には「同期可能なパスキー」を使用し、予備のパスキーとして「端末に紐づくパスキー」をあらかじめサービスに登録しておくといった運用も考えられます。これにより紛失などのトラブルに備えられます。
同期可能なパスキー（synced passkeys）
端末に紐づくパスキー（device-bound passkeys）
パスキー認証が利用可能なサービス
現在、Google、Apple、Microsoftなどの大手プラットフォームをはじめ、国内の証券会社など、BtoB・BtoCを問わず主要サービスで導入が進んでいます。
一方で、パスキー認証に未対応のサービスも多く存在します。この問題へのソリューションの一つとして、シングルサインオン（SSO）があります。
企業でのシングルサインオン（SSO）とパスキー認証の関係
シングルサインオン（SSO）は、複数サービスの認証情報を一元管理できる仕組みです。SSOの認証にパスキーを設定すれば、個別のサービスがパスキー認証に未対応であっても、SSOを通じてパスキー認証を適用できます。
管理者はSSO側で認証方式を一括制御できるため管理工数が増えず、ユーザーもSSOへの1回のパスキー認証だけで、各サービスへ安全にアクセスできるようになります。
SSOとパスキー認証による管理工数削減の事例
- 株式会社ウエディングパーク様：月間約200回発生していたログイン失敗が、導入後に0件へ減少（参考：FIDO Alliance 事例紹介（ウエディングパーク様）、株式会社ウエディングパーク様 導入事例 | CloudGate UNO）。
- 馬淵建設株式会社様：社内でのパスキー認証の利用率が98%を超え、パスワード関連の問い合わせがゼロに（参考：馬淵建設株式会社様 導入事例 | CloudGate UNO）。
株式会社ウエディングパーク様
パスワードレス認証の全社導入を約1ヶ月で達成！成功の鍵となる導入プロセスとは？
馬淵建設株式会社様
パスキー認証＆デバイス制御でセキュリティを強化！ヘルプデスク対応やキッティング作業の工数削減も
パスキー認証を社内システムに導入するならSSO「CloudGate UNO」
CloudGate UNOは全プランでパスワードレス（パスキー）認証に対応
ゼロトラストSSO「CloudGate UNO」は、全プラン標準でパスキーによるパスワードレス認証に対応しています。管理者画面から認証器として利用できるデバイスを細かく制御できるなど、企業での安全な運用に必要な機能が網羅されています。
CloudGate UNOなら簡単3ステップでパスキーによるパスワードレス認証を実現
パスキー未対応のクラウドサービスや社内システムであっても、SAML2.0やForm-based認証に対応していれば、CloudGate UNOを介してパスキー認証（パスワードレス）を導入可能です。
CloudGate UNOで使えるパスキー対応認証デバイス
WindowsやMac、Androidなど、私たちが日常的に使用している端末でFIDO2準拠の認証が利用可能です。自社のセキュリティポリシーや運用環境に合わせ、内蔵型・外付け型など最適な認証器を選択いただけます。
Touch ID・Face ID
macOS Big Sur/iOS 14/iPadOS 14以降のMacbook、iPhone、iPadなどに搭載されたTouch ID、Face IDをFIDO2対応認証器としてご利用いただけます。
Windows Hello
Windows 10 Version 1903以降のWindows HelloがFIDO2認証器となり、生体認証やPINなどでFIDO2認証をご利用いただけます。
Android
Android 7.0以降のAndroid端末に搭載されている生体認証機能などを利用することでFIDO2認証がご利用いただけます。
セキュリティキー
USBポートに接続して使うタイプやカードタイプなど様々な形状があります。認証器が搭載されていない端末にこれらのセキュリティキーを接続すれば指紋やPINなどを利用したFIDO2パスワードレス認証が可能になります。
セキュリティキーについて詳しく知る
よくある質問（FAQ）
Q1「パスキー」という用語はどのような時に使いますか？
「パスキー」という用語はどのような時に使いますか？
「パスキー」はFIDO認証資格情報を指す普通名詞です。「パスワード」という言葉と同じ感覚でお使いいただけます。例えば「オンラインアカウントにサインインするためにパスキーを使用する」といった表現になります。
Q2デバイスを紛失、または盗難された場合どうなりますか？
デバイスを紛失、または盗難された場合どうなりますか？
パスキーは基本的に悪用できません。例えばiPhoneやMacでは、パスキーはiCloudキーチェーンを通じてエンドツーエンドで暗号化されており、復号には生体認証（Face ID / Touch ID）やデバイスのパスコードが必要です。第三者がこれらを破らない限り、パスキーが不正利用されることはありません。
Q3パスキーと多要素認証（MFA）の違いは何ですか？
パスキーと多要素認証（MFA）の違いは何ですか？
パスキー認証は多要素認証（MFA）です。パスキー認証（FIDO認証）と従来の多要素認証の違いとして、パスキー認証はPhishing Resistant MFA（フィッシング耐性のあるMFA）と呼ばれており、フィッシング耐性に優れています。
Q4Googleへのログインにパスキーは使えますか？
Googleへのログインにパスキーは使えますか？
使用可能です。指紋・顔認証やPINなどの画面ロック解除を用いて、Googleアカウントへ安全にログインできます。
Q5Android端末でパスキーは使えますか？
Android端末でパスキーは使えますか？
使用可能です。Androidで作成したパスキーは「Googleパスワードマネージャー」に保存・管理されます。
体験ツアーを始める
