パスキー

玄関の鍵を思い浮かべてみましょう。ドアについている鍵穴は誰でも見られますが、それを開ける鍵は自分のポケットの中にしかありません。鍵穴をどれだけ眺めても、鍵の形を知ることはできませんよね。

パスキーをつくると、端末がペアになる2つの値を一度につくり出します。鍵穴にあたる公開鍵はログインするサイトに送って保管してもらい、鍵にあたる秘密鍵はスマートフォンやノートパソコンの中に閉じ込めておきます。

ログインするとき、サイトはそのたびに違う問題を1つ出します。自分の端末が秘密鍵でその問題に署名して答えを送ると、サイトは預かっている公開鍵で答えが合っているかを確かめます。

大事なのは、秘密鍵がサイトには絶対に渡らないという点です。サーバーが破られて保存された値がそっくり漏れても、泥棒が手にするのは鍵ではなく、鍵穴だけです。

フィッシングサイトは、本物の銀行の画面をそのままコピーしてつくられます。人の目では、アドレスの1文字の違いに気づくのは難しいものです。パスワードは自分の手で入力する値なので、だまされて一度打ち込んでしまうと、そのまま渡ってしまいます。

パスキーはここで違う動きをします。端末に保存された鍵には、「この鍵はどのサイトのものか」が一緒に記されています。アドレスが違えば、端末は署名そのものをつくりません。

人は目でだまされても、端末はアドレスを1文字ずつ照合します。だまされて渡してしまう値がそもそもないことが、パスキーのいちばんの強みです。

同じ理由で、キーボード入力をこっそり記録するプログラムにも、盗まれるものがありません。手で打つ文字がないので、盗まれるものも残らないからです。サイトごとに別々の鍵がつくられるため、1か所が破られても、ほかのアカウントに被害が広がりにくくなります。

指紋や顔がサイトに送られる、と誤解しやすいものです。しかし、ロック解除は、端末の中に閉じ込められた秘密鍵を取り出して使う資格があるかどうかを、端末が自分で確認する手続きです。指紋の情報は端末内のセキュリティ領域にとどまり、サイトが受け取るのは署名の値1つだけです。

端末をなくしたらどうしよう、という心配もよく聞かれます。最近のパスキーは、アカウントにひもづいたクラウド上のキーチェーンに、暗号化されたまま同期されることが多くなっています。セキュリティキーのように、1つの端末にだけ結びついて同期されないパスキーもあります。新しい端末でアカウントにログインすれば鍵がついてきますし、ほかの端末のパスキーでQRコードを読み取って承認する道もあります。

ただし、まだ対応していないサイトも多くあります。そのため当面は、パスワードとパスキーが並んで使われる過渡期です。パスキーを使う場合でも、アカウントを取り戻す方法をあらかじめ用意しておくことは、やはり大切です。