パスキー認証とは？仕組みとSMS認証との違いを解説

生成AIの進化など、さまざまな技術の進歩に伴い、セキュリティの脅威は増しています。一方、ITサービスは膨大に増え、合計で数十単位のアカウントを所持しているという方も多いのではないでしょうか。

そこで、ログイン情報を適切に守るために「パスキー認証」が重要になります。今回は分かりやすく、またSMS認証など他の認証方法との違いも分かりやすく解説していきます。

Cuenote FCで成果が見える
メールマーケティングを

Cuenote FCはハイスピードな大量配信を得意としながら、効果測定や自動処理も可能で大手企業にも選ばれるメール配信システムです。メールマーケティング機能も豊富で、配信数上限はなく送り放題です！

成功事例集プレゼント中！ 資料請求をする

詳しくはこちら »

パスキー認証とは？

パスキーは、デバイスに登録している指紋・顔などの生体認証やPINコードを用いて認証を行う技術を指します。FIDO(ファイド)アライアンスという団体とWeb技術で有名なW3Cという団体が協力して策定したWeb認証標準に基づいて実現されたものです。
従来アカウントごとに設定していたパスワードが不要になり、セキュリティレベルの向上が期待できます。

パスキー認証の仕組み

パスキー認証は、パスキーの登録を行ったデバイスにて、指紋・顔やPINコードなどの認証を行うことで、認証が完了します。仕組みを理解するために、登録・認証の二つの軸で解説します。

①パスキーの登録

パスキーは「秘密鍵」「公開鍵」という2つの鍵が用いられます。パスキーを登録する際には、登録するユーザーのデバイスに2つの鍵を作成します。秘密鍵はデバイスで保管し、公開鍵はパスキーを利用するサービス提供者のサーバーに送信して、アカウントとその情報を紐づけます。

パスキー登録の段階では、メール認証やSMS認証、メールアドレスとパスワードなど従来の認証を用いることが一般的です。

②ログイン時のパスキー認証

ログインを試みると、サービス提供サーバーから認証要求が届きます。指紋や顔の生体認証・PINコードなどパスキー認証を実行します。認証が取れると、秘密鍵で認証要求に対してデジタル署名して、サービス提供者側にそのデータを送信します。

サービス提供サーバーにある公開鍵を用いて、署名を検証します。確認が取れると無事ログイン成功になります。

パスキー認証のメリット

パスキー認証は、以下のようなメリットがあります。

パスワード認証による不正アクセスや負荷を除外できる

従来使用されてきたパスワード認証は、パスワードが流出してしまうこと、推測されやすいものなどによって、不正アクセスされるリスクが高い傾向にあります。また、ユーザー側がパスワードを忘れてしまうという不便さもありました。

対してパスキー認証で生体認証を活用すれば、忘れることはありません。

フィッシング詐欺の防止に役立つ

フィッシング詐欺は、実在するサイトになりすまして、不正にログイン情報を取得する手法が一般的です。パスキー認証を用いたログイン方法は、パスキー登録を行っている上で、生体認証を活用します。

なりすまされたサイトに気付かず、いつも通りログインを試みた場合には、ドメインが一致しないため動作しません。うっかり、フィッシングサイトにログイン情報を渡してしまうというリスクを大きく低減できます。

パスキー認証のデメリット

ユーザーがパスキーを利用するまでの手間がある

パスキーは登録対応をする必要があり、この登録にもパスワードやSMS認証などを用いるなど、設定に手間がかかります。またスマートフォンなど登録デバイスを買い換えた時などの移管も対応が必要になります。

ただし、そのデバイス内であれば1度対応してしまえば、パスワード入力や管理の手間が省けるため、ログイン時の負荷は軽減できます。

生体認証等を利用できるデバイスが必要

PINコードを用いたパスキー認証もありますが、基本は生体認証を活用します。そのため、生体認証を活用できるデバイスが必要です。スマートフォンは1人1台持つ時代になっているため、多くの人が利用することは可能でしょう。ただし、1つのアカウントを複数人で共有することは困難です。

パスキー導入までの間のリスクが生じる

パスキーを導入する際には、ユーザーのパスキー登録が必要であるため、急に一括変更は現実的ではありません。事前にアナウンスし、移行期間を経て切り替えが一般的です。この切り替え時には、パスキー認証とそれ以前の認証方法の２つ同時並行になります。

それぞれの認証に対してのフォローが必要になります。

SMS認証との違い

本人認証として活用されるものにはSMS認証もあります。SMS認証とは、登録しておいた携帯電話番号宛てに４～６桁程度のランダムな数字が届き、認証画面に入力することで認証完了となる方法です。

大きな違いとして認証情報があります。パスキー認証は基本認証情報が漏えいすることが低いです。一方、SMS認証は他の認証と比べリスクは低いもののSMSの傍受等で漏えいする可能性があります。また、フィッシング詐欺においてもパスキー認証は認証情報の入力が不要になるため、リスクが抑えられます。

一方、パスキー認証は端末を無くした時にアクセスできなくなる可能性があります。SMS認証も同じですが、キャリアなどに連絡を取りSIMを交換するなどで回復が可能です。パスキー認証の場合は、各サービスに対して認証の切り替えが必要です。ただし、同期機能を利用していれば、新しい端末でもパスキーを利用できる場合があります。

さいごに

金融業界などにおいては、パスキー認証に移行する流れになっています。一方で、そもそも2要素認証に対応していないなど、セキュリティリスクがある場合には、SMS認証の導入も選択肢としてあることでしょう。SMS認証導入をお考えの場合は、Cuenote SMSをご利用ください。