パスキーって何？ パスワードとの違いと最初に知っておきたいこと

最近、Webサイトで「パスキーを登録しませんか？」と案内されることが増えました。

指紋や顔でログインできる便利な機能、という印象はあっても、「パスキーって結局何？」「どこに保存されるの？」と感じる人も多いのではないでしょうか。

まず知っておきたいのは、パスキーは、パスワードの代わりになる一つの共通の文字列ではないということです。

パスキーでは、Webサイトのアカウントごとに「公開鍵」と「秘密鍵」という専用の鍵のペアを作ります。秘密鍵はパスキー管理サービスなどで安全に保管し、公開鍵はログイン先のWebサイトに登録します。

そしてパスキーを使い始めるときには、どのサービスで管理するかを最初に決めておくことをおすすめします。

まず、パスキーを管理するサービスを選びましょう

パスワードなら、自分で決めた文字列をサイトに入力すれば済みます。しかしパスキーは、サイトごとに作られる秘密鍵をどこかで管理する必要があります。

パスキーを管理するサービスには、次のような選択肢があります。

メーカーが提供するクラウド同期型サービス

• Apple「パスワード」：iPhone・Mac・iPadなど、Apple製品間で利用しやすいサービス。
• Google パスワード マネージャー：AndroidやGoogle Chromeなど、対応する環境でパスキーを管理・同期できます。
• Microsoft パスワード マネージャー：Microsoft Edgeなどで利用し、対応する端末間でパスキーを同期できます。利用には対応バージョンやアカウントなどの条件があります。

これらはOSやブラウザのメーカーが提供する管理サービスです。ただし、同じメーカー以外の端末でも使える場合があり、対応範囲はサービスによって異なります。

パソコン本体に保存する方法

• Windows Hello：Windowsパソコン本体にパスキーを保存する方法。基本的にそのパソコン専用で、買い替えても自動的に引き継がれません。

OSメーカーに依存しない管理サービス

• Bitwarden（ビットワーデン）：無料プランでもパスキーを保存・同期できます。Windows・Mac・Linux・iPhone・Androidなどに対応。
• 1Password（ワンパスワード）：幅広いOSに対応する有料サービス。無料体験期間はありますが、継続利用できる無料プランはありません。
• Proton Pass（プロトンパス）：無料プランがあり、複数のOSに対応。
• Dashlane（ダッシュレーン）：パスキーの保存・同期に対応。

対応するOSやブラウザ、アプリのバージョンによって、利用できる機能は異なります。

パスキーは、できるだけ一つの管理サービスにまとめましょう

何も考えずにパスキーを登録していくと、あるサイトのパスキーはApple、別のサイトはGoogle、さらに別のサイトはWindows Hello、と保存先がバラバラになってしまうかもしれません。

こうなると、どのパスキーをどこに保存したのか、わかりにくくなります。パソコンの買い替えやスマートフォンの機種変更で困ることもあるでしょう。

普段使うパスキーは、できるだけ同じ管理サービスに保存する。 まずはこれを意識してみてください。

Apple製品だけを使うなら、Appleの「パスワード」アプリで十分でしょう。一方、パソコンはWindows、スマートフォンはiPhoneという人や、将来Mac・Androidなどに乗り換える可能性がある人には、Bitwardenが便利です。

Bitwardenは無料プランでもパスキーを保存・同期できます。1Passwordも便利ですが、継続して使うには有料契約が必要なので、まず試してみたい人にはBitwardenが始めやすいと思います。

ただし、管理サービスのマスターパスワードや復旧方法は必ず確認しておきましょう。特にBitwardenでは、通常の2段階認証用リカバリーコードだけでは、忘れたマスターパスワードを再設定できません。鍵束を一つにまとめるなら、その鍵束にアクセスする方法も安全に保管することが大切です。

重要なアカウントには、別の端末やセキュリティキーに予備のパスキーを登録する方法もあります。

公開鍵と秘密鍵は、どう使うの？

パスキーには「公開鍵暗号」という技術が使われています。

• 公開鍵：ログイン先のWebサイトに登録する鍵。知られても、それだけではログインできません。
• 秘密鍵：自分の端末やパスキー管理サービスで保管する鍵。ログイン時に使いますが、秘密鍵そのものをサイトへ渡すことはありません。

例えばGoogleのアカウントでパスキーを作成したら、Google用の鍵ペアができます。Amazonのアカウントで登録するときは、それとは別の鍵ペアが作られます。

つまり、一つのパスキーをいろいろなサイトで使い回すわけではないのです。

秘密鍵を渡さずに、どうやってログインするの？

仕組みは「問題を出して、答えが正しいかチェックする」と考えると、わかりやすいでしょう。

① Webサイトが問題を出す

ログイン時に、サイトは毎回異なるランダムなデータ（チャレンジ）を送ります。

② 秘密鍵で答えを作る

利用者の端末やパスキー管理サービスは、秘密鍵を使って、その問題に対する特別な答えを作ります。これを電子署名と呼びます。

③ 公開鍵で答え合わせをする

サイト側は、登録済みの公開鍵を使い、電子署名が正しいかを検証します。正しければ、対応する秘密鍵が使われたと判断してログインを認めます。

ポイントは、秘密鍵をサイトに送らずに、秘密鍵を持っていることを証明できることです。

厳密には「公開鍵で暗号化された問題を秘密鍵で解く」のではなく、「秘密鍵で作った電子署名を公開鍵で検証する」仕組みです。

パスワードより、なぜ安全なの？

パスキーには、従来のパスワードと比べて大きな利点があります。

1. 秘密鍵をサイト側に預けない

サイトに登録されるのは公開鍵です。もしサイト側から公開鍵が漏れても、それだけでは対応する電子署名を作れません。

一方、秘密鍵そのものが盗まれ、使える状態になれば危険です。だからこそ、端末や管理サービスによる鍵の保護が重要になります。

2. サイトごとに鍵が異なる

パスワードを使い回していると、一つのサイトから漏れた文字列が別のサイトへの不正ログインに悪用されることがあります。

パスキーはアカウントごとに異なる鍵を作ります。一つのサイトで使う鍵を、別のサイトのログインに流用することはできません。

3. 偽物のログイン画面に強い

パスキーは正規のサイトのドメインと結びついています。ブラウザやOSが接続先を確認するため、本物そっくりの偽サイトでも正規サイト用のパスキーを使わせることはできません。

もちろん、端末の乗っ取りや管理サービスの不正利用、弱いアカウント復旧手段など、別の危険がなくなるわけではありません。それでも、パスワードが抱えていた大きな弱点を、仕組みそのもので減らせることは画期的です。

まずは管理サービスを決めるところから

パスキーは、単にパスワードの入力を省略する技術ではありません。

サイトごとに鍵を作り、秘密鍵を渡さずに本人確認するという、従来とは根本的に違うログイン方法です。

顔認証・指紋認証・PINなどで簡単に使える一方、裏側では公開鍵暗号という技術が安全性を支えています。

これからパスキーを登録する人は、まず自分に合った管理サービスを選び、できるだけ保存先を統一するところから始めてみてください。

公開鍵暗号がどのように生まれ、インターネットの安全性を変えたのか。その歴史や仕組みは、また別の記事で詳しく紹介したいと思います。

---

参考資料（編集確認用）

• Microsoft Edge パスキー：https://www.microsoft.com/ja-jp/edge/features/passkeys
• Microsoft パスキー概要：https://support.microsoft.com/en-us/accounts-billing/security/what-are-passkeys-why-they-matter
• Google開発者向け パスキー：https://developers.google.com/identity/passkeys
• Bitwarden パスキー：https://bitwarden.com/help/storing-passkeys/