パスキーを設定すると、「このサービスのパスワードは消してよいのか」「顔や指紋の情報がサイトへ送られるのではないか」「スマホを失くしたら入れなくなるのか」と迷うかもしれません。結論からいうと、パスキーはパスワード入力を減らす有力な方法ですが、パスワードや復旧手段を一律に不要にするものではありません。まずは、そのサービスの設定と復旧方法を確認してから使い始めることが大切です。
パスキーは、何を変える認証方法なのか
従来のパスワードは、利用者が覚えた文字列を入力し、サービス側が登録済みの情報と照合する仕組みです。多くのサービスで使える一方、同じパスワードの使い回し、偽サイトへの入力、漏えいした認証情報の悪用、複雑な文字列を覚える負担といった課題があります。
パスキーは、公開鍵暗号という仕組みを使います。簡単にいえば、端末側には他人に渡さない鍵を置き、サービス側には対になる公開用の鍵を登録します。ログイン時には、端末側の鍵で認証の応答を作り、サービスは公開用の鍵で確かめます。利用者は長いパスワードを入力せずに済む場合があります。
ログインの承認には、端末の画面ロック解除を使うことがあります。指紋、顔、PINなどで端末が「この鍵を使ってよい」と確認する役割です。通常、ウェブサイトに送られるのは指紋や顔そのものではなく、公開鍵暗号による認証の応答です。生体認証は、各サイトに生体情報を登録するための操作と考えるより、端末内で鍵の利用を承認する操作と捉えると分かりやすいでしょう。
パスキーを作っても、パスワードを消す判断は急がない
サービスによっては、パスキーを主なログイン方法にできます。一方で、パスワード、メールによる確認、二段階認証を引き続き使う設計のサービスもあります。パスキーを追加しただけで、既存のパスワードが自動的に無効になるとは限りません。
そのため、パスワードを削除したり、復旧用の認証手段を外したりする前に、公式のセキュリティ設定画面で確認しましょう。見る点は三つです。「パスキーを追加できるか」「パスワードでのログインが残るか」「二段階認証やアカウント復旧に何を使うか」です。表示や選択肢はサービスごとに異なるため、一般論だけで判断しないことが重要です。
パスキーは、正しいサービスの画面でしか使えないように設計されており、偽サイトにパスワードを入力させる型のフィッシングへの耐性を高めます。主要な認証・デジタルアイデンティティの指針でも、こうしたフィッシング耐性のある認証が重視される傾向があります。ただし、偽のサポート窓口にだまされること、復旧手続きを悪用されること、端末や同期元のアカウントを不正利用されることまで防ぐわけではありません。
買い替えと紛失では、「鍵がどこにあるか」を確認する
パスキーは、端末やOSのアカウントを通じて同期できる場合があります。この場合、新しい端末で同じアカウントを適切に利用できれば、機種変更時の負担を減らせることがあります。ただし、同期の可否や使える範囲は、サービス、ブラウザ、OS、組織の管理設定によって異なります。同期していれば、あらゆる端末ですぐ使えるとは限りません。
端末を失くしたときの影響も一律ではありません。推測されにくい画面ロックが設定されているか、端末を探す・ロックする・必要に応じて消去する公式機能を使えるか、別のログイン済み端末や同期先があるか、サービス側の復旧方法が何かによって変わります。会社や学校の管理端末では、管理者の方針によりパスキーの同期や設定が制限されることもあります。
家族共用の端末にも注意が必要です。端末のロックを解除できる人は、状況によってはパスキーの利用を承認できる可能性があります。重要な個人アカウントには、誰が端末を使うか、どの端末にパスキーを置くかを分けて考えるほうが安全です。
設定前後に行う、四つの確認
第一に、主要メール、クラウドストレージ、高額な決済、仕事用のアカウントから順に、公式設定画面でパスキーとパスワードの扱いを確認します。第二に、端末の画面ロックを見直します。短く推測しやすいPINのままでは、端末側の承認が弱くなります。
第三に、機種変更や故障が起きる前に、自分の環境で同期・移行の方法を確かめます。移行が確認できるまで、以前のログイン済み端末を急いで初期化したり手放したりしないほうがよいでしょう。第四に、復旧用メールアドレスと電話番号が現在も使えるものかを見直します。回復コードが発行されるサービスでは、端末の中だけに置かず、他人に見られにくく、必要時に取り出せる場所に保管します。
もし端末を紛失したら、端末を探す、ロックする、必要に応じて消去するといった対応に加え、主要アカウントのログイン履歴、登録済みの復旧情報、不審な変更がないかも確認します。パスキーへの移行は、パスワードをなくすこと自体が目的ではありません。自分がログインを続けられ、不正な利用に気づいて対処できる経路を整えることが目的です。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。