パスキーとパスワードの違い：何が良いのかをざっくり整理

調査結果

パスキーとは

パスキーは、パスワードの代わりに指紋認証・顔認証・画面ロックのPINなど端末の認証機能を使ってサービスにログインする新しい認証方式である(IPA^[2])。技術的には公開鍵暗号を用いており、国際標準化団体FIDOアライアンスが策定した規格に基づく(FIDO Alliance^[1])。

パスワードとの違い

最大の違いは、認証に使う「秘密情報」の置き場所である。パスワードは利用者が考えた文字列をサービス側にも保存する形になるが、パスキーでは端末内で鍵ペア（秘密鍵・公開鍵）が生成され、秘密鍵は端末の中に留まり、サービス側には公開鍵しか渡らない(FIDO Alliance^[1])(Google セーフティ センター^[3])。そのため利用者は文字列を覚えたり入力したりする必要がなく、指紋や顔認証、画面ロックの解除だけでログインが完了する(Google セーフティ センター^[3])。

もう一つの重要な違いは、パスキーが登録したサイト・アプリごとに個別の鍵ペアとして作られる点である。この仕組みにより、偽サイト（フィッシングサイト）に誤って情報を入力しても認証自体が成立せず、フィッシング攻撃への耐性が高いとされる(FIDO Alliance^[1])(Google セーフティ センター^[3])。

パスキーの利点（何がいいのか）

IPAは、パスキーの利点として次の2点を挙げている(IPA^[2])。

• パスワードの漏えいリスクがなく、より安全にログインできる
• 利用者のデバイスを問わず、速く・簡単・安全にログインできる

これに加えて、パスキーは共有・コピー・書き写しができない性質上、パスワードのように使い回しや漏えいによる乗っ取りのリスクが低いことも利点として説明されている(Google セーフティ センター^[3])。IPAは対応サービスにおいてはパスキーの利用を積極的に勧めているが、これはあくまで「サービス側がパスキーに対応していること」が前提である(IPA^[2])。

使う上での注意点

• 対応サービスが前提：パスキーはサービス側が対応していないと利用できず、全てのウェブサイト・アプリで使えるわけではない(IPA^[2])。
• 端末間の引き継ぎ：パスキーは仕組み上、端末ごとに作られる。AppleのiCloudキーチェーンやGoogleパスワードマネージャーのような同期機能を使っていれば同じアカウント内の複数端末で共有できるが、OSをまたぐ機種変更（例：iPhoneからAndroidへの乗り換え）などでは同期されず、新しい端末での再登録が必要になる場合がある(Google セーフティ センター^[3])。
• 紛失時の対応：端末を紛失した場合でも、多くのサービスでは従来のパスワードや2段階認証へのフォールバック手段が用意されているとされるが、対応はサービスごとに異なる(Google セーフティ センター^[3])。

まとめ

パスキーの「良さ」は一言でいえば、覚える必要のある秘密情報（パスワード）そのものを無くし、サーバー側に漏れうる情報を公開鍵だけにすることで、漏えいやフィッシングによる乗っ取りのリスクを構造的に下げている点にある(FIDO Alliance^[1])(IPA^[2])。一方で、対応サービスの広がりや端末間の引き継ぎの手間には注意が必要である。