パスキーとは｜パスワードとの違いと設定・使い方の手順

パスキーとは何か

パスキーは、パスワードの代わりにログインするための鍵です。設定すると、端末の中に「秘密鍵」が、サービス側に「公開鍵」が保存されます。ログインのたびに、サービスから送られてきたデータへ端末が秘密鍵で署名し、サービスは公開鍵でその署名を確認します。秘密鍵そのものは端末から出ていきません。

使う側から見ると、操作は「顔認証・指紋認証・画面ロックの解除」だけです。文字を入力する場面がなくなるため、覚える必要も、どこかに書き留める必要もありません。生体認証は端末のロックを解くために使われるだけで、顔や指紋のデータがサービスへ送られることはありません。

パスワード・二段階認証との違い

注目したいのは「偽サイト」の行です。二段階認証を設定していても、偽サイトに誘導されてコードまで入力してしまうと突破されることがあります。パスキーは、登録したサイトのドメインと結び付いているため、見た目がそっくりな別ドメインのページでは動きません。人間が見破れなくても、仕組みが止めてくれるという点が決定的な違いです。

なぜフィッシングに強いのか

• 登録したドメインとひも付いている：偽サイトのドメインでは、そもそもパスキーが呼び出されない
• 秘密鍵が送信されない：通信を盗聴されても、渡っているのは毎回異なる署名だけ
• サーバーに秘密が保存されない：サービス側が漏えいしても、公開鍵からログインはできない
• 使い回しが構造上起きない：サービスごとに別の鍵が作られる
• 人間の判断に依存しない：URLを見抜けなくても、条件が合わなければ動かない

パスワードの事故は、多くが「入力してしまった」ことから始まります。フィッシングメールから偽のログイン画面に飛び、いつもの調子で入力する。パスキーは、その入力という行為自体をなくします。うっかりの余地を減らすという意味で、注意力に頼る対策より確実です。

パスキーを設定する手順

1. 1

   対応しているか確認する

   アカウント設定のセキュリティ関連の項目に「パスキー」「パスワードなしでログイン」といった表示があるかを見ます。なければそのサービスは未対応です。

2. 2

   保存先を決める

   端末に保存するか、パスワードマネージャーに保存するかを選びます。複数の端末で使うなら、同期されるほうを選んでおくと後が楽です。

3. 3

   作成して認証する

   画面の指示に従い、顔認証・指紋認証・PINのいずれかで本人確認をします。ここで秘密鍵が端末に保存されます。

4. 4

   その場でログインし直して試す

   一度ログアウトし、パスキーでログインできるか確認します。設定しただけで試さないと、必要なときに使えない状態に気づけません。

5. 5

   パスワードと復旧手段を残す

   パスキーが使えない状況に備え、既存のパスワードとバックアップコードは消さずに保管します。

最後の手順を飛ばさないでください。パスキーを設定した端末を紛失し、パスワードも復旧コードも残していないと、アカウントに入れなくなります。パスキーは日常のログインを楽にするものであって、復旧手段まで置き換えるものではありません。

パスキーはどこに保存されるか

スマートフォンとパソコンのメーカーが違う場合は、パスワードマネージャーに保存しておくと迷いが減ります。同期に対応していれば、パソコンで作ったパスキーをスマートフォンでも使えます。同期しない設計を選んだ場合は、端末ごとにパスキーを追加登録する必要があります。

使い始める前に知っておきたい注意点

• 共有端末には作らない：家族共用のパソコンにパスキーを作ると、画面ロックを解ける人が全員ログインできます
• 機種変更の前に確認する：同期されない設定の場合、旧端末を手放す前に新端末へパスキーを追加してください
• 会社の端末は方針に従う：業務アカウントは管理者側の設定で制限されていることがあります
• 対応状況はサービスごとに違う：同じサービスでもアプリとWebで挙動が異なる場合があります
• パスワードは弱いまま残さない：併用する以上、パスワード側が突破口になります

最後の項目は見落とされがちです。パスキーを設定しても、そのアカウントに古い短いパスワードが残っていれば、攻撃者はそちらを狙います。併用する期間は、パスワード側も十分な長さのものに更新しておいてください。パスワードジェネレーターを使えば、長さと文字種を指定して推測されにくい文字列をまとめて作れます。生成はブラウザ内で完結し、サーバーへは送信されません。

よくある質問

パスキーとパスワードの違いは何ですか？

パスワードはあなたとサービスが同じ文字列を共有する仕組みで、漏れれば誰でもログインできます。パスキーは端末に秘密鍵、サービスに公開鍵を置く仕組みで、秘密鍵は端末から出ません。サービス側の情報が流出してもログインには使えず、登録したドメイン以外では動作しないため、偽サイトでの入力被害も起きません。

パスキーを設定した端末をなくしたらどうなりますか？

同期に対応した保存先（OSの同期機能やパスワードマネージャー）にしていれば、新しい端末で同じパスキーを使えます。端末限定で保存していた場合は使えなくなるため、パスワードやバックアップコードなど別の復旧手段でログインし、新しい端末でパスキーを作り直します。復旧手段を消さずに残しておくことが前提になります。

パスキーは生体認証の情報をサービスに送っていますか？

送っていません。顔認証や指紋認証は、端末のロックを解除して秘密鍵を使えるようにするためだけに使われます。サービスへ渡るのは、その鍵で作られた署名だけです。生体情報は端末の中に留まります。

パスキーにすればパスワードは消していいですか？

まだ消さないでください。パスキーに未対応の画面や、パスキーが使えない状況が残っているためです。パスワードは復旧手段として保管し、併用する間は十分な長さのものへ更新しておきます。将来サービス側がパスワードの削除を選べるようにした場合は、復旧手段が他に用意できているかを確認してから判断してください。