パスキーの概要
パスキーとは何ですか？どのように機能しますか？
パスキーは、セキュリティ面で劣るパスワードを使わずに、アカウントをすばやく作成してログインできる認証方式です。この1ステップの安全なログイン方法は、従来の認証方法や2要素認証（2FA）のプロセスに代わるものです。さらに、パスキーを使えば、そもそもパスワードを作成する必要がないため、弱いパスワードを作ってしまうことも二度とありません。
パスキーは、YubiKeyのような物理ハードウェアキーを置き換えるものですか？
最新のYubiKeyは、パスキーの一種として使用できます。具体的には、セキュリティキーまたは「デバイス紐付けパスキー」と呼ばれるもので、キー自体が小型デバイス上に存在し、同期やバックアップは行われません。そのため、同期パスキーより使いにくい場合がありますが、特定の状況では有用です。
パスキーはパスワードレスと同じですか？
はい。パスキーはパスワードを必要としないため、パスワードレス認証方式と見なされます。なお、パスキーは一般的に、フィッシングされやすい他のパスワードレス認証手段よりも安全です。
パスキーの最適な使い方は？
パスキーの使用は、想像以上に簡単です。新しいアカウントを登録するとき、従来のユーザー名とパスワード（および追加の2段階ログイン登録）を作成する代わりに、単一のパスキーを作成します。そのパスキーは、ユーザー確認が必要な場合、デバイス上の生体認証（指紋スキャナーなど）またはPINと組み合わせて使用できます。そのため、アカウントにログインする際は、生体認証またはPINで認証するだけでアクセスできます。生体認証情報はデバイス上でのみ使用され、ウェブサイトに送信されることはありません。
パスキーの設定手順は？今後サイトやアプリを利用するとき、その手順はどう変わりますか？
従来のユーザー名/パスワードを使用していたウェブサイトやアプリがパスキー対応を有効にすると、多くの場合、ボタンをクリックするだけで最初のパスキーを作成できます。手順はデバイスをロック解除するのと同じくらい簡単です。バックグラウンドでは、パスキーを作成すると暗号鍵のペアが生成されます。1つ目は公開鍵で、アカウントを作成するウェブサイトに保存されます。2つ目は秘密鍵で、デバイスまたはBitwarden保管庫に保存されます。この鍵ペアは、デバイス上で指紋や顔スキャンなどの生体認証によって保護されます。
パスキーを設定する際に必要な情報は何ですか？
サイト用のパスキーを作成する際は、まず既存のユーザー名とパスワードでログインする必要があります。その後、サーバーがブラウザーに特定の暗号化情報を提供するよう要求を送信します。次に、生体認証（指紋スキャナーや顔認証など）またはデバイスのPINコードを使って、その要求を承認します。検証に成功すると、デバイスが鍵ペアを生成し、公開鍵をサイトに送信します。パスキーの設定時に提供が求められる情報はこれですべてです。
パスキーはどこに保存されますか？
公開鍵はウェブサイトに保存され、秘密鍵はデバイスまたはパスキープロバイダー（例：Bitwarden保管庫）に保存されます。
パスキーのセキュリティ
セキュリティの観点から、パスワードとパスキーはどのように比較できますか？
パスキーは、従来のユーザー名／パスワードによる認証方法よりも、さまざまな理由で安全です。何よりもまず、「パスワード」のような解読されやすいパスワードを使うことができません。また、パスキーには2要素認証（2FA）が組み込まれており、誰かがあなたのアカウントにアクセスするには、秘密鍵と生体認証ログインまたはデバイスのPINコードの両方が必要です。
パスキーに2FAは必要ですか？
いいえ。ログイン時にウェブサイトへ提供されるパスキーには、2FAが組み込まれているためです。各ウェブサイトがログイン時に追加の手順を設ける場合もありますが、多くはそうしていません。
パスキーがハッキングされることはありますか？
100%完全なものはありません。ただし、パスキーをハッキングするには、秘密鍵が保存されているデバイスへのアクセスを得るだけでなく、生体認証ログイン（指紋や顔）を再現したり、デバイスのPINコードを破ったりしてデバイスに侵入する必要があり、相当な労力がかかります。そのため、パスキーは従来の方法よりはるかに安全です。
スマートフォンを紛失した場合はどうなりますか？本人確認に使うパスワードのようなものがない場合、パスキーはどう復旧すればよいですか？
パスキーは複数のデバイス間で同期できる場合が多いですが、すべてのプラットフォームがまだ対応しているわけではありません。Bitwardenでは、バックアップされ、すべてのデバイス間で同期される保管庫にパスキーを保存できます。万一パスキーを失ってしまっても、多くのサイトには復旧オプションが用意されているはずなので、アカウント用に新しいパスキーを作成できます。もちろん、これはサイトごとに異なります。
デバイスが盗まれた場合はどうなりますか？その方法で泥棒がパスキーにアクセスできますか？
泥棒があなたのデバイス上でパスキーを正常に使用できる唯一の方法は、デバイスのロック解除もできる場合であり、事実上データへの完全なアクセスを得ることになります。ただし、パスキーを使用するたびに、生体認証やデバイスPINの再入力などのユーザー確認が必要になることが多いため、ロック解除済みの状態でデバイスを盗まれただけでは不十分です。
Bitwardenでパスキーを使用する
Googleが最近パスキー対応を発表しました。これはBitwardenが発表しているものと同じですか？
一部は同じです。Googleは、Google Workspaceアカウントにパスキー認証の対応を追加したと発表しました。つまり、ユーザーは通常のパスワードの代わりにパスキーでGoogle Workspaceにログインできます。同様に、Bitwardenユーザーもマスターパスワードの代わりにパスキーでBitwardenアカウントにアクセスできるようになります。
Bitwardenはまた、ユーザーが利用するウェブサイトやアプリケーションに関連付けられた登録済みパスキーを、保管庫内で直接保存、保管、管理できるようになることも発表しました。つまり、Googleではアカウントにパスキーを使用できるようになり、Bitwardenでは保管庫にパスキーを保存できます。
使用しているブラウザーに関係なく同じパスキーを使うのですか？それとも、各サイトでブラウザーやデバイスに応じて異なるパスキーが必要ですか？
Bitwardenに保存されるパスキーは同期パスキーです。つまり、Bitwarden拡張機能にログインしている任意のブラウザー、またはBitwardenモバイルアプリがインストールされている環境で、同じパスキーを使ってアカウントにアクセスでき、新しく作成する必要はありません。パスキーをBitwardenに保存しない場合は、ブラウザーとデバイスのOS（パスキーが保存されている場所）との統合状況によって異なります。
パスキーに対応しているサイトの例は？
現在パスキーに対応しているサイトは増えており、Best Buy、Cloudflare、eBay、Google、Kayak、PayPal、GitHubなどがあります。コミュニティ提供のPasskey IndexはGitHubで公開されています。
Bitwardenでパスキーをどのように使うのですか？マスターパスワードはまだ必要ですか？
対応ブラウザーでウェブアプリを使用する場合、ユーザーはマスターパスワードなしでパスキーを使ってアカウントにアクセスできます。また、パスキー対応サイトにアクセスするためのパスキーをBitwarden保管庫で作成・保存することもできます。
パスキーはプラットフォームをまたいで使用できますか？できない場合、使用するプラットフォームによって異なるパスキーを持つことに問題はありますか？
パスキーには、デバイス紐付けパスキーと同期パスキーの2種類があります。デバイス紐付けパスキーは、作成されたデバイスでのみ使用できます。同期パスキーは、Bitwardenのようなパスキープロバイダー内に保存でき、ログインしている場所であればどこでも使用できます。
パスキーを導入すると、パスキーの使用に縛られますか？
それはサイトまたはアカウントによって異なります。パスキー認証のみを提供するサイトもあれば、従来のユーザー名／パスワード認証や、ユーザー名／パスワード／2FA認証を提供するサイトもあります。
パスキーを信頼できる他の人と共有できますか？
それはプラットフォームによって異なります。Bitwardenを含む一部のプラットフォームでは、信頼できる人とパスキーを共有できます。
パスキーで困ったときに、ライブチャット担当者と話せるようなサポートはありますか？
それはサイトによって異なります。サイトがパスキー認証に対応しており、サポートを提供している場合、その特定のサイトにおけるパスキー認証に関する質問に回答してもらえます。
パスキーを使いたくなくなった場合、削除できますか？
はい。デバイス上でパスワードを削除する場合と同じ方法で行います。