パスキーでログインしようとすると、スマートフォンやパソコンが顔・指紋・端末の暗証番号を求めることがあります。「顔写真や指紋のデータが、ログイン先のサービスへ送られるのでは」と心配になるかもしれません。一般的なパスキーのログインでは、この端末上の確認と、サービスへ渡る認証情報は別の役割です。
顔・指紋は、通常は端末でパスキーの使用を許可するために使う
パスキーでは、端末側に秘密鍵と呼ばれる重要な鍵を保持し、ログイン先のサービスには対になる公開鍵を登録します。公開鍵は、秘密鍵から作られるものですが、それだけで秘密鍵を再現することはできないように設計されています。
ログイン時、端末は秘密鍵を使って、そのログイン操作に対応した署名を作ります。サービスは登録済みの公開鍵で署名を検証し、正しいパスキーを使ったログイン操作かを確かめます。
この秘密鍵を使う前に、端末は「いま操作している人に使用を許可してよいか」を確認します。その手段として、顔認証、指紋認証、または端末の画面ロック用暗証番号が表示されることがあります。一般的には、顔・指紋の照合は端末の生体認証機能で行われ、照合に用いる生体情報そのものがログイン先サービスへ送られる仕組みではありません。
サービスに渡るのは、顔や指紋ではなく認証に必要な情報
パスキーの登録時には、サービス側に公開鍵と、そのパスキーを識別するための情報が登録されます。ログイン時には、端末が作った署名などの認証情報がサービスへ渡り、サービスが公開鍵で検証します。
つまり、「顔・指紋でログインする」という表示は、サービスが顔・指紋を受け取るという意味ではなく、端末が秘密鍵の使用を許可するための確認であることが通常です。顔・指紋による照合結果や、どの生体認証方式を使ったかが、ログイン先へそのまま渡るものとして考えないことが大切です。
一方で、公開鍵だけなら個人に関する情報が一切サービスへ渡らない、という意味でもありません。ログイン先サービスは、アカウント名やメールアドレス、ログイン日時、IPアドレス、端末やブラウザーに関する情報などを、サービス運営に必要な範囲で扱うことがあります。これはパスキーの公開鍵認証とは別に確認すべき点です。
「端末の認証画面」と「顔写真の提出画面」は分けて見る
サービスによっては、パスキーとは別に、本人確認書類の確認、決済時の不正利用対策、年齢確認などを目的として、顔写真や顔画像の提出を求めることがあります。この場合は、パスキーの標準的なログイン処理とは別の本人確認手続きです。
画面を見たら、まず端末の通常の顔・指紋・画面ロック用暗証番号の確認なのか、サービスや外部事業者に顔写真・書類画像のアップロードを求める画面なのかを区別しましょう。後者であれば、何の目的で、どの事業者に、どのような情報を提出するのかを確認します。不審なサイトや突然表示された画面では、URLや公式アプリであることも確かめてから操作します。
生体情報の扱いと、パスキーの同期は別に確認する
端末が生体情報をどのような形で保存・照合するかは、端末メーカー、OS、設定によって異なります。また、パスキーを複数の端末で使えるようにする同期機能も、端末内の生体認証とは別の論点です。同期を使う場合は、利用中のOSやパスキー管理機能の公式説明で、同期の条件、アカウント保護、プライバシーに関する設定を確認しましょう。
端末の画面ロック用暗証番号を選べる場合、その暗証番号は生体認証が使えないときの代替として、端末がパスキー利用を許可するために使われることがあります。これは通常、サービスのパスワードを再びサービスへ送る操作とは異なります。
今日確認したい4項目
まず端末の設定で、登録済みの顔・指紋と、画面ロック用暗証番号を確認します。他人の生体情報を登録している、または画面ロック用暗証番号を共有しているなら、パスキーもその人に使われ得ます。不要な登録や共有状態は見直します。
次に、パスキーを設定したサービスのセキュリティ設定で、登録済みのパスキーとログイン中の端末を確認します。使わない端末や心当たりのない登録があれば、サービスの案内に従って削除や保護措置を行います。
さらに、復旧用メールアドレス、電話番号、二段階認証の手段も確認します。パスキーが使えないときのアカウント復旧では、これらの別の情報が使われることがあるためです。端末を他人に操作されている状態や、復旧手段が他人に渡っている状態まで、パスキーだけで解決できるわけではありません。
顔・指紋の表示を見たときは、「端末内でパスキーの使用を許可する確認か」「サービスへ顔写真などを提出する別手続きか」を最初に分けて考えると、必要な確認先が整理しやすくなります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。