パスワードの時代は終わる？「パスキー認証」とは何か

～私自身の頭の整理と理解のためにこのブログを書きました～

投稿：舩生好幸（ISACA認定CISA、IPA登録 セキュリティプレゼンター）2026.2.18

（更新：2026.9.25）

最近、GoogleやAppleなどのサービスで「パスキー」という新しいログイン方式が広がっています。

お恥ずかしいですが以前、携帯電話会社のサイトへのログインで、パスキーが要求されるようになっていて四苦八苦しました。

ユーザーには違いが分かりにくい、パスキーと従来のパスワードで何が違うのか、できるだけわかりやすく整理してみました。

「クエスチョンマークと人形」・出典：https://www.photo-ac.com/

〇はじめに：従来のパスワード認証のしくみと弱点

これまでのログインは、「IDとパスワード」を入力する方式が主流でした。

利用者が入力したパスワードを、サーバー側に保存された情報と照合し、一致すればログイン成功です。

しかし、この仕組みには大きな弱点があります。

・サーバーが攻撃されるとパスワード情報が流出する可能性がある。

・同じパスワードを使い回すと被害が拡大する。

・フィッシングサイト（攻撃者が用意した偽サイト）に入力したりすればパスワードを盗まれてしまう。

つまり、パスワードという「秘密の文字列」を外部のサーバーと共有していること自体がリスクであるということです。

〇パスキー認証のしくみ

パスキーは、FIDO Allianceが策定した技術をもとにした仕組みで、「公開鍵暗号方式」を使います。

パスキーによるシステム的な認証の動きを簡単に表すと、以下の通りです。

1. 初回登録時に、私達の利用する端末内で「秘密鍵」と「公開鍵」を作っておく。

2. ログイン先であるサーバーには「公開鍵」を登録しておく。

3. ログイン時は、端末内の秘密鍵で電子署名を生成し、サーバーに送信。

4. 受け取ったサーバーでは送られた電子署名を公開鍵を用いて解析し、本人確認＝正当な利用者であることを確認。

ここで重要なのは、認証の要となる電子署名を生成する「秘密鍵」はユーザーの端末外に出ない、ということです。

（サーバー側で電子署名を解析する際に利用する「公開鍵」は、名前の通り秘密にする必要のないものです。）

パスワードが認証の度に端末外に送信されるのとは大きく違い、その分セキュリティ強度が高まります。

〇パスキー方式はフィッシング詐欺に強い

パスキーが特に優れている点は、偽サイトにだまされにくいことです。

パスキーは、最初に登録した「正しいサイトの住所（ドメイン）」とひも付けて保存されます。

そのため、見た目がそっくりな偽サイトにアクセスしても、端末はこう判断します。

「このサイトは、登録した本物のサイトとは別物です」

その結果、パスキーは作動しません。

たとえ本物そっくりでも、偽サイトではそもそもログイン手続きが成立しない仕組みが確立されているのです。

結果、パスワードのように「偽サイトにうっかり入力して盗まれる」ことが起きにくいのが大きな違いであり、安全な理由です。

〇利用者にとってのメリット

パスキーを利用することで、利用者側にもメリットがあります。

・指紋認証や顔認証、あるいはPIN※の入力（Windowsでもおなじみ）でログインできる。

・（そのため、長く、複雑で覚えにくくなりがちな）パスワードを覚えなくてもよい。

・（そのため）入力ミスが起きにくい。ログインが効率的にできる。

※PINは、パスワード同様、数字やアルファベットなどの文字列ですが、直接の「ログイン情報」ではない点にご留意ください。PINはあくまで端末のロックを解除するための確認手段であり、ネットワークを経由してサーバーに送信される情報ではありません。

つまり、「覚える認証」から「端末で確認する認証」へと変わった点が大きいと言えます。

〇まとめ：パスワード認証とパスキー認証の本質的な違い

パスワードは

「その文字列を知っているか？」

パスキーは

「その端末を正当に使っている本人か？」

という発想、及び認証の仕組みに違いがあります。

パスキーは、「知識や記憶に頼る認証」から、「端末の安全性と本人確認を組み合わせた認証」へと進化した仕組みと言えるでしょう。

今後、多くのサービスでパスキーへの対応が進むと考えられます。

進化した分、仕組みが理解しにくくなった部分もありますが、

パスワードに代わる新しい方式・パスキー認証について、今のうちに理解を高めておくことは、今後の情報セキュリティ対策の基本になりうるものと思います。

（Primary-f／向実庵　代表）

＜ご案内＞

Primary-fでは、事業者様の「人と事業を守る」ため、中小企業庁及びＩＰＡが推進する「できるところから始めて段階的にステップアップ」の取り組みに沿った情報セキュリティ関連サービスをご提供いたします。

詳しくはこちらよりお入りください。