急にパスキーを求められないか？パスキーは「パスワードの終わり」か？その正体を探ろう【#セキュ裏 8】
本記事は、EGセキュアソリューションズが配信するPodcast「セキュリティの裏側まで読み解くラジオ」第8回を再構成したアーカイブ記事です。
ログインやアカウント作成の際、パスワードの代わりに「パスキー」という言葉を目にする機会が増えていないだろうか。
「よくわからないまま使っている」「使っていいのか不安」。パスキーについて、そう感じたことはないだろうか。パスワードに代わる次世代の認証技術であるこのパスキーの、誕生してから今日の普及に至るまでの道のりには、実は数多くの興味深い出来事があった。
今回も、知っているつもりで実は知らない、セキュリティのリアルを伝えたい。パスキーとは何なのか。どのように情報を守っているのか。そこに新たな課題はないのか。そしてどのような経緯でここまで発展してきたのか。
本記事では、経営の専門家とセキュリティの専門家、双方の視点から、この技術の歩みを一緒に追っていく。
🎙️ 今回の Podcast を聴く
🎙 解説陣について
徳丸 浩（専門家）：EGセキュアソリューションズ最高技術責任者（CTO）。Webセキュリティの先駆者。
高畑 哲平（経営者）：IT・Webマーケティング分野で豊富な実績を持つ経営者。
香川 ほのか（ナビゲーター）：若手社員。セキュリティコンサルタント兼Web脆弱性診断士。
はじめに：パスキーとは？
香川：本日は、パスキーへの素朴な疑問やモヤモヤを、セキュリティと経営のプロと一緒に分かりやすく紐解いていきます。早速ですが、アカウント作成する時によく見かけると思うんですけど、そもそもこのパスキーっていうのはどういうものなんでしょうか？
徳丸： パスキーというのはですね、パスワードを使わない認証、パスワードレス認証なんて言いますが、これの本命とみなされているものです。
パスワードを使わない認証っていうのはずいぶん昔からありまして、今もパスキー以外のものもありますが、実はどれもうまくいかなかったんですね。パスキーというのは、FIDO（ファイド）と呼ぶんですが、これの規格を元にしています。
「安全な鍵」は、なぜ普及しなかったのか？コストと運用が招いた壁
パスキーの土台となる技術であるFIDOは、極めて安全性が高い。FIDOアライアンスは、2012年にはすでに設立されていた。厳格なセキュリティが求められる一部の日本企業では導入されていたものの、普及には至らなかった。
パスキーの基盤「FIDO」と、普及しなかった過去
徳丸： FIDO（ファイド）自体もだいぶ前からあるんですが、実は全然普及しなかったんですね。 FIDOというのはデジタルな鍵、鍵と言っても長いランダムな不規則なデータですね。これを例えばUSB型の外部に漏れない安全なデバイスに入れておいて、それがないとログインできませんよっていう、極めて安全なものだったんです。
商品名で言うと「YubiKey（ユビキー）」なんていうのが有名ですが、そういうデバイスを買って設定登録すると安全にログインできるっていうもので、日本でもセキュリティがすごく求められる企業ではそれを買って社員に配っていたりしたんですが、全然普及しない。私見ていて「多分これは普及しないだろうな」と思ったんですが、案の定普及しなかったです。
FIDOを使ったYubiKeyが普及しなかった理由：コストと運用の壁
香川： 普及しないって思ったのは、どういうところがそう思わせたんですか？
徳丸： 私のね、そういう勘は大体当たるんですよ（笑）。
香川： 勘だったわけですね。
徳丸： 勘だったわけですね（笑）。理屈はあるんですけど、まず1つはお高い。これ1個5,000円ぐらいするんです。割引とかあるでしょうけどね、1万人の企業で5,000円のもの配ったら5,000万で、それは普通しないですよね。それと、じゃあそのデバイスをいつも肌身離さず持ってなきゃいけない。会社に忘れてきました、家に置き忘れてきましたってなると、その日1日仕事ができない。
高畑： 確かに
徳丸：なんてことがあるとまずいんで、情報システム部門に行って「すみません、ちょっと認証デバイス忘れてきました」「え、徳丸さんまたですか？」みたいなことを言われて、一時的なものを払い出してもらう運用が大変で、忘れた人も気まずい。ただでさえ高いのに、余分に予備を買っておかなければならないとか。じゃあその退職した社員の分どうするんだとかって色々ある。だから、コストもあるし運用も面倒くさい、そういうものは流行らないとしたものでして、実際流行らなかったんです。
パスキーはどのようにして生まれ、普及したのか
YubiKeyが抱えていた「高額なコストと運用の壁」を克服すべく誕生したのがパスキーである。同じくFIDOの技術をベースにしながらも、鍵の置き場所を外付けデバイスからクラウドへと移している。
その分、セキュリティ面では一定の妥協を伴うことになるが、ビッグテックはリスクを比較検討したうえで、パスキーの推進を選択した。日本では、大規模な不正被害を機に、パスキーの導入を促している。
FIDOの課題を克服した「パスキー」の誕生
徳丸： ですが、それ（YubiKey）をちょっとモディファイして流行らせたのが、実はパスキーなんです。
香川： じゃあそこら辺の管理の手間というのも、だいぶ少なくなってるんですかね。
徳丸： はい。で、パスキーは、デジタルな鍵をどこに置いたかというと、デバイスでなくて「パソコンに置きましょう」と。しかも、ここが大事なんですが、これを「クラウドで、持ってる端末すべてに同期して」、パソコンでもスマホでもどれでも同じキーでログインできるようにしましょう、っていうのがパスキーの基本的なアイディアなんです。
セキュリティ派の不満をよそに、ビッグテックは「パスワードよりマシ」と判断した
徳丸：これは、ガチガチのセキュリティ大好きな人から見ると、すごい不満なんですね。
高畑： ほう。
徳丸： 安全なデバイスだからあれは安全なのであって、クラウドで同期するとは一体何事かって怒ってる人、今でも結構見かけるんですが、そこは割り切ったわけですね。
「パスワードを破られる危険性」と、「クラウドが破られて悪用される」どっちが問題かというのを天秤にかけて、「いや、パスワードの方よっぽどダメだ」と、「オンライン証券とか見てみろ」ということで、パスキーにしましょうということで、Appleなどが最初に始めたんですが、今ではMicrosoft、Google、いわゆるビッグテックと呼ばれる大手のIT企業がすべて賛同して始まったというのが大体3年ぐらい前からの動きです。
日本でも、ヤフーが全部パスキーに変えるとか。あと、昨年のオンライン証券の事件。何千億円も被害が出た。おそらく多くの方が個人の投資のされてる方だと思うんですが、もうあり金ね、例えば何千万円入っていました、5,000万円入っていました、それがあり金全部持ってかれたみたいな、想像するだけでも恐ろしい事件ですが、そういうこともあって、金融庁がもうオンライン証券全部パスキーにしろみたいなお触れを出してですね、それでいよいよ本格的に普及し始めているという段階ですね。
パスキーの安全性： パスキーの仕組みにある強い防御力
パスキーがこの数年で急速に普及した背景には、その安全性がある。ログインの際、端末は正しい「鍵」を持っていることをサイトに証明するだけでよく、「鍵」そのものをネット上でやり取りする必要がない。この仕組みが、従来のパスワードが抱えていた複数のセキュリティ問題を、構造的に防いでいる。
「安易な文字列」を設定する余地がない
高畑： 本当に最近、何かサービスを登録すると「パスキーにしますか？」みたいなポップアップ出てきますよね。みんな理解してるのかな？っていう素朴な疑問があって。
香川： 急に出てきましたよね、パスキー。
徳丸： まず、パスキーの一応理屈を説明しておきましょうか。 パスキーというのはですね、中身は先ほど言ったデジタルな鍵。要はパスワードをうんと複雑に長くしたようなものだと考えてください。
パスワードだと、ウェブサイトとかに行ってそのパスワード文字列をそのまま入力するんですが、パスキーはそういう単純なものではなくて。生の鍵は、実は端末から出ていかないんですね。 暗号技術を使って、確かにそのデジタルな鍵を持っているということを暗号論的に証明をすることで認証します。ですから、「password」みたいな安易な文字列をつけることがまず絶対にありえないと。
フィッシングに強く、使い回しのリスクもない
徳丸：それから、鍵が端末から外に出ないので、盗まれる心配も非常に少ないということで、安全であると。偽のサイトにパスワードを入れちゃう（フィッシング）。それもないと。
なぜかというと、パスキーを実現する仕組みがですね、「あ、このサイトだからこの鍵を使おう」っていうのを判断しますから。偽のサイトだと「あ、このサイトにはパスキーはないな」ということで、なんら応答しないと。なので、作りとしてフィッシングにも非常に強いということで、今注目されているんです。
高畑： 分かったようで分かってないかもしれない。個人のパソコンとかスマートフォンに鍵があって、それが仕組み的に認証される。ただ、鍵が移動するわけではないので、安全だっていう理解の仕方なんですかね？
徳丸： そうですね。鍵は、例えばYahoo!で認証するYahoo!用の鍵、Googleで認証するGoogle用の鍵って全部別れてるんで、それでもある程度安全性が高まるということになりますね。いわゆる使い回しはないと。
端末を失くしたら?生体認証・PINという「門番」の正体
鍵が端末の外に出ないという構造は、たしかに安全性を支えている。しかしそこで高畑氏が突きつけたのは、端末と一緒に鍵まで失われてしまえば、他人にすべてを見られてしまうのではないかという問いである。
この懸念に対して徳丸氏が持ち出したのが「生体認証」という第一関門であり、そこには意外と知られていない誤解も潜んでいた。
パスキーを使うための生体認証という第一関門
高畑： もう唯一じゃあそのパソコンを紛失してしまいましたと。それを誰かが入手した、ログインできたってなると、全部見られてしまう可能性は出るってことですか。
徳丸： そうなんですが、ここで「生体認証」というのが出てきます。つまり、鍵があれば簡単にログインできるのではなくて、例えばスマホであれば顔認証とか、指紋認証とかがあって、それは何かというと、実は「鍵を使う」ということの許可を求めるためのものなんですね。
高畑： あー！じゃあパスキーの中に含まれてるわけじゃないけど、パスキーを使うための入り口の認証が生体認証？
徳丸： そうなんです。ですから、比喩的に言うと、鍵があると。鍵が小型の金庫にあると。で、その小型の金庫にある鍵を取り出すために、指紋とか顔の認証とか。どちらもない場合は、4桁とか6桁の番号（PIN）を入れるとか。そういう形で認証します。
高畑： ちなみに、サービスが、例えばYahoo!さんがパスキーを入れる時に、「生体認証とか何らかそういうことを入れないといけないよ」っていう基準はあるんですか？
徳丸： これはですね、厳密にいうと、「ない」と言っていいと思いますね。そういう風に作れなくもないんだけれども、それは利用者側に委ねられていますね。ただ、通常、それ「何もなし」っていうのはできないようになってます。
高畑： じゃあ何らか第1ゲートみたいなのがあって、そこをくぐった先にパスキーがあると。
徳丸： はい、そうです。
高畑： あー、分かった。
パスキーに対する2つのよくある誤解
香川： 結構「生体認証とかPIN入力っていうのがパスキー」っていう理解をしている人も多いかなと思うんですけど、それはちょっと違うってことですよね。
徳丸： その通りです。これは声を大にして言いたいです。例えば、PINだと数字4桁とか6桁って言いましたが、「あれで認証してる」と思ってる人が結構おられてですね。「え、じゃあ4桁でいいの？」と。
香川： 利用者側はそれを入力してるだけですもんね。
徳丸： あるいは、違う誤解として、「例えば指紋でどこそこにログインする。僕のこの大事な指紋の情報が向こうのサイトに渡ってるんじゃないか」と心配される方も結構おられるんですね。でもそれは違います。一切渡ってないです。
PINよりも生体認証をすすめる
高畑： 本当にビルの入り口と、オフィスゾーンに入るところが分けられているような、そんなイメージ感ですね。だから、最初の突破は簡単そうに見えるけど……そこもだから、PINよりも生体認証の方がいいのかもしれないですけどね。
徳丸： そうですね、それをおすすめします。なぜかというと、PINって自分で桁数決められたりするんですよ。だから「簡単な方がいいよね」ってことで、4桁みたいなのをつきがちなんですが、そうするんだったら、もう生体認証の方がずっといいですね。長く複雑なのもつけられるけども、それは普通しないだろうみたいなところですね。生体がいいと思いますね。
では、なぜ全部パスキー必須にしないのか?NISTの"松竹梅"
パスキーがここまで浸透してくると、いよいよパスワードは消えていくのではないか。これほど安全なら、いっそ全部パスキー必須にすればいいのではないか。そう思いたくもなるが、徳丸氏の見解は少し異なる。NISTが示す「松・竹・梅」という基準をのぞくと、その理由が見えてくる。
パスワードは消える? パスキーの普及予測
高畑： そうすると、自分が使ってる端末、パソコンないしスマートフォンないし、紐づいてるものはみんな同じように動かすことができるので、パスワードも覚えなくていいし、「いいですよ」って意味では、死角なしのように見えるんですけど、これは、このままこれが完全普及しそうな勢いなんですか？
徳丸： いや、認証が大切なところにはどんどん普及しているけれど、パスワードも依然として残りそうですね。
リスクに応じた認証レベル：NISTが示す「松・竹・梅」
高畑： これ、素人考えで見ると、その行政なのか国なのかNISTなのか分かんないですけど、「もう全部これにしなさい」という感じではできないんですかね？
徳丸： NISTの基準ですが、フィッシング耐性のある認証方式（パスキー）、これを全部必須にしてるわけではないんですよ。NISTでは、認証のレベルを3段階に分けています。松・竹・梅みたいな感じですね。 NISTっていうのは元々、アメリカの政府機関のための色々な基準ですから、当然、国防に使うとかであれば、一番上の「松」。これはもうフィッシング、あるいはフィッシングと同等の強度のもの、これだけを使えとなっているわけです。
ところが、そうでないものもあると。例えば、国民に非常に簡易な……認証は必要だけども、あまり重大でないものを提供しますよと。日本の政府で言うと、例えば何か大震災があった時に、住民に色々な情報を提供するとか、臨時に色々なクーポンを払い出すとかですね。そういう時に厳しい認証を求めたら、「いやもう、大地震で着の身着のままで逃げてきたのに、何がないとサービス受けられませんとか、それはナンセンスだ」ということになりかねないですね。やっぱり松・竹・梅は大事だってことになってるんです。
NISTに戻りますが、「竹」だとパスキーは必須ではないけれども、ユーザーは選択できるようにしなさいと。だから「自分は心配だからパスキーを選ぼう」と、そういう選択肢を必ず用意しろと。で、「梅」の場合は特に決めてない。何でもいい。ま、何でもいいわけじゃないですけども（笑）、パスキーは要求してないという感じです。
高畑： そうすると、数からいったら竹より下の方が多いですもんね。そうすると、世の中はまだまだ色んな方式が溢れる。
徳丸： そうですね、はい。
過渡期のパスキーが抱える、実務現場の「リアルな混乱」
NISTの基準が示すように、多層的な利用シーンが存在する以上、「すべてをパスキーに統一する」のは現実的ではない。だが、理由はそれだけではない。普及の過渡期にあるパスキーは今、別の側面でも多くの「不統一」と混乱を抱えている。
サービスごとに異なる実現方法や同期の仕組み、さらにはAppleやGoogleなどの企業によるエコシステムの「覇権争い」ともいえる状況が見え隠れし、ユーザー体験を分断してしまっている。
利用者の評判は、実はあんまり良くない
香川： 利用者目線では統一してほしいですけどね。
高畑： 「パスキーだけだったら楽なのに」って思いますけどね。
徳丸： それがですね、パスキー、実は利用者側の評判もあんまり良くないんです。私、X（旧Twitter）でよく反応を見てるんですが、割りかし文句を言ってる人が多いですね。
高畑： どの部分ですか？
徳丸： まずですね、パスキーと一口に言いますが、その実現方法は複数あるんですね。統一じゃないんです。これは複数の選択肢があるという意味では、良いことでもあるんですが、利用者側からすると「統一されてない」という欠点になりますね。
例えばオンライン証券、パスキー必須になりつつあって、もうどんどんそうなってますが、ある証券会社だと「スマホがないとログインできない」なんてのもあるんですよ。全部認証をスマホに集約して、その結果をパソコンに送る、みたいなやり方になってるんですね。それから、別のところだと「いや、もうパソコンで、スマホなしでログインできますよ」っていうのもある。
過渡期の課題：複数の同期方式、同期先による混乱と不便
徳丸： これ、クラウドに同期すると言いましたが、どのクラウドを使うのかっていう問題もあるわけですよ。例えば、高畑さんひょっとしてApple大好きとかじゃないですか？
高畑： 信者です。
徳丸： そうですよね。そういう人は、iCloudで全部同期すればいい。ところが、それ以外の選択肢っていうと、例えばGoogle Chromeっていうブラウザで同期をする。そういう選択肢がありますが、それでもユーザー側からすると「僕はどれを使ったらいいの？」ってなりませんか？
高畑： なりますし、どこで同期したか分からなくなりそうですね。
徳丸： 私のように「いや、Appleも使うけどAndroidも使う、Windowsも使う」となると、「iCloudだけ」ってわけにもいかない。
例えば私は「1Password（ワンパスワード）」というパスワード管理ソフト、これでも管理できるんですね。これだとすべての端末で使えるんで、私はそれに寄せてますが、有償だし、使うのにちょっとインストールをしたり、ちょっと面倒くさいと。
香川： 設定しなきゃいけなかったり。
徳丸： そういうことで、どれ使ったらいいの？と。あるいは、さっき言ったように、スマホとパソコンを連携して、よくQRコードが出てきてっていうのがありますが、パソコンの画面ではQRコードが出てくると、スマホで読んで、スマホ側に入ってる鍵でログインすると、その結果をパソコンに伝えるという形もあります。
ですが、方式がいくつかあるのでややこしいと。それと、私自身そうですが、iPhoneにもパスキーがあると。1Passwordにもパスキーがあると。両方使いたいと。でも、この証券会社は1個しか登録できないと。不便だ、みたいなのもあるんです。 ですから、まだ普及し始めの過渡期っていうこともあるし、作る側も「金融庁から言われたから大急ぎで作らなきゃいけない」っていうんで、まだこなれてない面もあって、ちょっとしばらくそういうのは続くかなというところですね。
AppleとGoogleの「覇権争い」が生むユーザーの不便
高畑： なんかパスキーのストラクチャーというか、その構造の1つではあるものの、どちらかというと利便性の争いというか、利便性のある種の覇権争いも含めて複雑にしちゃってるんですね。パスキーそのものに何か害はないという言い方はおかしいですけど。
徳丸： そうですね、根幹の「デジタルな鍵で認証する」、そこの仕組みは変わらないんですけども、どういう風に同期をする、何で同期するとか、その辺はだいぶ違いますね。
高畑： 主にお客さんがこけるポイントもそこですよね。結局AppleなのかGoogleなのか、1Passwordなのかみたいな、そういうところで分からなくなってサポートに問い合わせて（笑）、みたいなことが起こるっていう。
徳丸： そうだと思いますね。
現状は混乱していても、やはり「パスキー」を使おう
高畑： そうすると、「パスキーでいいですね」って結論で思ってたんですけど、やや複雑な状況をまだ生んでるかもしれないですね。
徳丸： ですが、パスキーが使えるならできるだけパスキーを使いましょうってところですかね。
高畑： ただ、やっぱりさっき徳丸さんに言われてふと思いましたけど、当社は基本Windowsです。家に帰ったらMacです、みたいな会社の場合って、当然会社と個人では違うものを使うから混ざらないとは言っても、一部混ざるようなものがあった時に、「あれ？」って状況は起きますもんね。
徳丸： 起きますね。「1個しか使えない」となったらどうするんだ、みたいになりますよね。
高畑： そうなんです。困りました。だけど、パスキーを使いましょうっていうのが、中長期で見た時にはいい流れなんですかね。
まとめ
パスキーには課題も残るが、「使えるならできるだけ使いましょう」というのが徳丸氏の立場である。
パスキーの先駆けともいえる、FIDOに対応したYubiKeyは、かつて高コストと運用負担ゆえに普及しなかった。これは、いかに高い安全性であっても、コストや利便性を無視しては定着しないことを示している。
こうした流れの中で登場したパスキーは、鍵の管理を専用デバイスからクラウド同期に移すことで、利便性と引き換えに安全性を一部犠牲にした。それでも、パスワード漏洩のリスクや、証券口座の不正利用被害といった現実的な脅威を背景に、近年普及が進んでいる。
もっとも、パスキーの普及は一様に進んでいるわけではない。現状では、サービスごとに実現方式や同期先が異なるうえ、AppleとGoogleの主導権争いも絡んでおり、利用者は当面、選択の混乱や体験の分断に直面する。
こうした状況にあっても、徳丸氏は、使えるならできるだけ使うのがよいという立場である。その背景にある具体的な理由は次回、徳丸氏が語る予定である。先取りして知りたい方は、ぜひEGセキュアソリューションズの本noteや、ポッドキャストのフォローをお願いします。
🎙️ セキュリティの裏側を読み解くラジオ｜Spotify | Apple Podcast | Amazon Music
EGセキュアソリューションズについて
Webアプリケーションセキュリティに特化した、セキュリティ専門家集団である。Webアプリケーションの脆弱性診断をはじめ、WAF「SiteGuardシリーズ」、体系的なセキュリティ教育「Security Campus」、そして企業に寄り添うコンサルティングまで、幅広いサービスを展開している。企業の実情に即した、持続可能なセキュリティの実現を支援する。
補足情報・参照資料
NIST（米国国立標準技術研究所）のガイドライン:
NIST SP 800-63B「Digital Identity Guidelines: Authentication and Lifecycle Management」
金融庁によるセキュリティ対策の指針:
金融商品取引業者等向けの総合的な監督指針
本文中で言及した用語・事例に関する補足
FIDO（ファイド / Fast IDentity Online）: パスワードに依存しない新しい認証技術の標準化を目指して、2012年に設立された「FIDOアライアンス」が定める規格。公開鍵暗号方式を組み合わせ、ネットワーク上に秘密の情報（パスワードなど）を流さない仕組みにより、フィッシング詐欺に強い安全な認証を実現する。
パスキー (Passkey): FIDOの規格をベースに、Apple、Google、Microsoftなどが推進している「マルチデバイス対応FIDOクレデンシャル」。従来のFIDO（物理キー）が抱えていた「デバイスを紛失するとログインできない」という運用面の壁を解決するため、スマートフォンやパソコンのOSにあるクラウド（iCloudキーチェーンやGoogleパスワードマネージャーなど）を介して、複数の端末間で安全に同期できるようにした組みである。
徳丸氏が言及したNISTの「松・竹・梅」（AAL: 認証保証レベル）:
NIST SP 800-63Bで定義される3段階のセキュリティ基準。松（AAL3）: 最も厳格。YubiKeyのようなハードウェアベースの暗号化モジュールを用いた、フィッシング耐性のある認証が必須。
竹（AAL2）: 中程度。多要素認証が必須。パスキー（同期可能なソフトウェアベースの認証）は主にこのレベルを満たすものとして広く活用されている。
梅（AAL1）: 基本的。単一要素認証（従来のパスワードなど）でも許容されるレベル。
YubiKey（ユビキー）: スウェーデンのYubico社が開発・販売する、USBやNFC接続の物理的なハードウェア認証デバイス。極めて強固なセキュリティを誇るが、1本あたり数千円というコストや紛失時の運用負荷が壁となり、一般消費者への普及には至らなかった。
PIN（Personal Identification Number）: 端末のロックを解除するための暗証番号（4桁〜6桁の数字など）。パスキーを使用する際の「第一関門」として用いられるが、このPINはあくまで「ユーザーの手元にある端末内」でのみ検証されるものであり、パスワードのようにインターネットを介してサーバー側に送信されることは一切ない。
1Password（ワンパスワード）: カナダのAgileBits社が提供する世界的に有名なパスワード管理ソフト。OS（AppleやGoogle）の壁を越えてパスキーを一元管理し、同期できるサードパーティ製の手段として言及されている。