パスキーとは？
パスキーは、パスワードよりも安全で使いやすい認証方法です。パスワードや2段階認証の代替として、すばやく、安全にアカウントを作成・ログインできます。万が一、偽サイト（フィッシングサイト）に誘導されても、パスキーは機能しないため、機密情報の漏洩を防ぎます。
なぜパスキーなのか？
強力なパスワードを記憶し、使い回しせずに管理するのは困難です。結局パスワードを忘れ、リセットを繰り返す羽目に。Vault のパスキーなら、覚える必要も使い回す心配もなく、セキュリティーと利便性を両立できます。
68％
Verizonの2024年度データ侵害調査報告によれば、全体の68%のインシデントに、盗まれた認証情報・フィッシング・パスワードの誤用など、人的要因が関与しています。
詳細はこちらビジネスにおける
パスキーのメリット
- すべての端末でシームレスかつ安全なサインイン
- 各パスキーは固有かつ暗号的に安全で、偽サイトでも使用不可
- パスワードリセットの手間が減り、チームの工数とコストを削減
- パスワードリセット対応が減り、ITサポートの負担やコストを大幅に削減
パスワードとパスキーの違い
パスワード
- 強度はばらつきがあり脆弱
- 覚えておく必要がある
- 複数のアプリやWebサイトで使い回すとリスク大
- 共有・傍受されやすい
- フィッシング攻撃に対して脆弱
パスキー
- 初期状態で強力
- 覚える必要なし
- サービスやサイトごとに固有
- 秘密鍵は端末内に保存
- フィッシングや総当たり攻撃などのサイバー脅威に対して強い
パスキーの仕組み
パスキーは秘密鍵と公開鍵の
2つの鍵で構成されます。
秘密鍵
端末上のパスキープロバイダに安全に保存され、本人確認に使用されます。
公開鍵
Webサイトに保存され、サインイン時の検証に使用されます。
※秘密鍵と公開鍵は、暗号的にリンクされたペアです。
各パスキーは、暗号的にリンクされた2つの鍵で構成されています。これは、長くランダムな文字列からなる「秘密鍵」と「公開鍵」です。それぞれがパスキーに固有であり、片方で暗号化した情報をもう一方で復号できるという特別な関係にあります。この仕組みにより、ユーザーの正当性を安全に検証・認証できます。
秘密鍵は、ユーザーの端末にインストールされたパスキープロバイダ（パスキーに対応したパスワードマネージャー）によって安全に保管されます。さらに、秘密鍵は指紋、PIN、パスワードなどでロックされ、外部からのアクセスを防ぎます。一方、Webサイト側には公開鍵が保存されます。公開鍵は自由に共有可能で、たとえWebサイトがデータ侵害を受けたとしても、秘密鍵が端末から漏れない限り、セキュリティーは維持されます。
パスキーで保護されたWebサイトにアクセスする際、Webサイトはまず「サインインチャレンジ」と呼ばれるランダムなデータを送信します。端末の秘密鍵がこのチャレンジに署名し、Webサイトに返送します。Webサイトは公開鍵を使ってこの署名を検証し、ユーザーの正当性を確認できた場合のみ、安全にログインを許可します。
パスキーでサインインできる仕組み
パスキーは秘密鍵と公開鍵の
2つの鍵で構成されます。
秘密鍵
端末上のパスキープロバイダに安全に保存され、本人確認に使用されます。
公開鍵
Webサイトに保存され、サインイン時の検証に使用されます。
※秘密鍵と公開鍵は、暗号的にリンクされたペアです。
フィッシングに強い構造
秘密鍵はユーザーの端末から離れることはありません。また、偽のWebサイトでは使用できないため、フィッシング攻撃に対して非常に高い耐性を持ちます。
パスキーによるサインインの流れ
- 1. ユーザーがWebサイトにアクセスし、サインインを試みます。
- 2. Webサイトが「サインインチャレンジ」として大きな乱数を送信します。
- 3. ユーザーは生体認証やPIN、パスワードなどで端末のパスキーストレージのロックを解除します。
- 4. 秘密鍵がチャレンジに署名し、暗号化された応答を生成します。
- 5. Webサイトは公開鍵を使って署名を検証し、ユーザーの正当性を確認します。
- 6. 検証が成功すると、ユーザーは自動的に安全にサインインされます。
パスキーの管理に関するよくある質問
FIDOアライアンスとは？
FIDO（Fast IDentity Online）アライアンスは、2013年に設立された業界団体で、安全かつパスワード不要の認証技術の普及を目指しています。パスキーのようなサインイン標準を通じて、フィッシング対策やオンラインセキュリティーの強化を推進しています。
パスワードとパスキーの違いは？
パスワードはユーザーが自分で作成・記憶する必要がありますが、パスキーは端末上で自動生成・保存されます。覚える必要がなく、フィッシングや総当たり攻撃にも強いため、安全性と利便性を両立できます。
パスキーはパスワードを完全に置き換えられますか？
すぐに完全移行することはありませんが、今後の主流になる可能性があります。多くのユーザーがパスキーの「かんたんで安全」な体験を知れば、認証のスタンダードとして普及するでしょう。
パスワードマネージャーはどれくらい重要ですか？
パスキーの導入が進む中、パスワードマネージャーの役割はさらに重要になります。Zoho Vault なら、パスキーを作成・保存できるだけでなく、パスワードやクレジットカード、メモなども安全に管理し、すべての端末と同期できます。
パスキーがハッキングされる可能性はありますか？
パスキーの秘密鍵は端末から出ることがなく、第三者がアクセスすることはできません。万が一端末が盗まれても、生体認証がない限り使用できないため、高いセキュリティーが保たれます。
いつでもかんたんで安全なサインインを
パスキーは、より快適なサインイン体験を実現するソリューションの一部です。パスワードと併用する段階でも、完全に切り替える準備が整っていても、Zoho Vault なら柔軟に対応可能。サインインに悩まされることなく、本来の仕事に集中できます。
無料サインアップ