サイバー犯罪者の手口は日々高度化しています。その一方で、いまだに多くの人が「Password123」のようなパスワードでアカウントを保護しています。
サイバー犯罪者の主な標的のひとつがユーザーアカウントのセキュリティです。多くの場合、ユーザー名とパスワードの組み合わせで管理されています。そこに知識不足のユーザーが加わると、悪意のある攻撃者にとっては格好の標的になります。
推測されやすいパスワード。
使い回されたパスワード。
多要素認証がないこと。
これらはいずれも問題の一因となります。
幸い、人気が高まっている新しいセキュリティツールがあります。それがパスキーです。パスキーはパスワードに代わるもので、指紋スキャンや顔認証などの生体認証を使用し、より安全なユーザー確認プロセスで機密データを保護するのに役立ちます。
パスキーとは？
パスキーは、パスワードを使わずにユーザーを認証する安全な暗号化方式で、オンラインでのセキュリティ、安全性、使いやすさを向上させます。一度設定すれば、パスキーはパスワードより使いやすく、その強度がユーザーに依存しないため、はるかに安全です。
Google、Amazon、Apple、Microsoftなどの大手テクノロジー企業を含め、ますます多くのWebサイトがこのパスワードレス技術を採用しています。
パスキーについて詳しくは、こちらのブログをご覧ください：
パスキーは、従来のパスワードに代わるパスワードレス認証の一種です。ほとんどのオペレーティングシステムでパスワードマネージャー内から使用でき、10年以上にわたって開発されてきた公開鍵暗号を活用しています。FIDO Allianceは、この技術を導き推進し、普遍的でオープンな標準を確保するために2013年に設立されました。Bitwardenを含む多数のメンバーやスポンサーが支援しています。パスキーは、同アライアンスが開発したWebAuthn暗号プロトコルを活用しており、安全な認証のゴールドスタンダードとして高く評価されています。
パスキーはどのように機能しますか？
パスキーは本質的にパスワードを置き換えるよう設計されており、公開鍵暗号のおかげで非常にシンプルです。
ユーザーがパスキーに対応したWebサイトやアプリで新しいアカウントを登録する際、パスキーの作成を求められます。表示されたら、提供されたQRコードをスマートフォンでスキャンするだけで、パスキーが自動的に作成されます。
そのパスキーは、公開鍵と秘密鍵の2つの鍵で構成されます。公開鍵はサーバーに保存され、秘密鍵はユーザーのデバイスに保存されます。ユーザーがパスキーを作成すると、そのサイトにアクセスする際にパスキーの使用を求められます。あとは、スマートフォンで指紋認証または顔認証を使ってログインするだけです。
パスキー対応のWebサイトにログインする際、サイトはログインチャレンジ（非常に大きなランダムな数値）を送信し、ユーザーの秘密鍵は暗号技術を使ってそのチャレンジに対する応答を「署名」します。Webサイトはその署名を公開鍵と照合し、真正性を確認します。確認されると、Webサイトはアカウントへのアクセスを許可できます。
各パスキーは、非常に長いランダムな文字列である、関連する2つの非対称暗号鍵のペアで構成されているため、認証プロセスは大幅に安全になります。この2つの鍵は互いに異なりますが、特別な関係があります。一方の鍵（サーバー上の公開鍵）で暗号化されたメッセージを、もう一方の鍵（ユーザーのデバイス上の秘密鍵。ほとんどのオペレーティングシステムでサポートされています）で復号できます。この鍵ペアは、ユーザーの確認と認証に使用されます。
パスワードとは異なり、この鍵ペアは、デバイス上またはパスキーに対応したパスワードマネージャー（パスキープロバイダーとも呼ばれます）内に安全に保持される秘密鍵と、ユーザーがログインするWebサイトに保存される公開鍵で構成されます。これらの鍵ペアで最も重要な点のひとつは、秘密鍵が安全であり、保存されているオペレーティングシステムの外に出ることがないことです。また、パスワードマネージャーは、生体認証、PIN、またはパスワードによって秘密鍵をロックします。一方、公開鍵は、たとえばWebサイトのデータ侵害時などに世界中に共有されたとしても、秘密鍵が安全に保たれている限り、セキュリティが損なわれることはありません。
非対称鍵ペアを理解するのに役立つよく使われるたとえを紹介します。下のインフォグラフィックでは、パスキーとその鍵ペアを使用して、Webサイトへのログイン時にユーザーの真正性を確認する手順を説明しています。
公開鍵と秘密鍵のペアにより、パスキーはフィッシング攻撃を防ぐ能力に優れ、ユーザーのプライバシーをより確実に保護できます。
Bitwardenのパスキー
Bitwarden パスワードマネージャーはパスキーの作成と保存に対応しており、簡単に管理できます。
今すぐ無料のアカウントで始めるか、チームで共有する場合は無料のビジネストライアルを開始してください。
開発者向けには、BitwardenのPasswordless.devが、パスキーなどの検出可能なFIDO認証情報を構築するためのAPIフレームワークを提供しています。