昨今いろいろなアカウントログインでパスワードではなく、パスキーを求められることが増えていると思います。このパスキーはいったいどういうもの？パスワードとは何が違う？今後のパスワードはどうなるの？というところを技術的な話をさけわかりやすく解説します。
【パスキーとは？】
そもそもパスキーって？というところですがこれは単純な話、使用する端末（スマートフォンやPCなど）の画面ロック解除用のコードを利用するというものです。厳密には裏側で複雑なことをしていますがざっくりというとそんな感じです。
・認証の仕方
どうやって認証しているのかというのを順に説明します。
- アカウント作成時に対となる二つの鍵が作成されます。
- 二つの鍵の内、片方はアカウントのサーバーに送られ、アカウントのメールアドレスやIDなどと紐づいて記録されます。このサーバー側に送られる鍵を公開鍵とします。一方、もう一つのカギは端末に秘密鍵として保存されます。
- アカウントにログインするときにサーバーからデータが送られてきて、「このデータをそちらが保存している秘密鍵で暗号化して」といわれます。
- 端末は送られてきた内容のデータに対して秘密鍵を使用するため、端末の持ち主に対して「秘密鍵を使用しますが今この操作をしているのは持ち主本人ですか？」という確認をしてきます。
- この端末からの「持ち主本人ですか？」に対して顔認証や指紋認証、画面のロック解除用コード入力をし、本人確認が取れたら端末は秘密鍵を使用して送られてきたデータを暗号化し、サーバーに送り返します。
- サーバーは送り返されてきたデータを保存している公開鍵で復号しもとのデータだった場合、ログインを許可します。
この時の秘密鍵と公開鍵は対となっていて内容は異なります。けど、データを決まった手順で暗号化と復号を行うと元のデータに戻るという数学的な関連性があるため、本人確認が行えます。
これだけ聞くと「？？？？」となるかと思います。ここで大事なのは何をされるとセキュリティ上まずいのか、とパスワード認証とパスキーの仕様の違いによる危険性です。
【パスワード認証とパスキーの違いとセキュリティ上の危険性】
・パスワード認証の仕様
だいたいのパスワード認証はアカウントのメールアドレス、IDと設定しているパスワードをサーバーに送りサーバー側で認証して許可します。
もちろんサーバー側はデータが流出しても大丈夫なよう、パスワードなどは暗号化して保存しているため送られてきたパスワードを暗号化することで同じ暗号になればOK、というような感じと思ってください。
・セキュリティ上の危険
パスワード認証も強固です。ですが、パスワードはユーザーが決めた文字列です。そして複数のサービスでアカウント作成する場合、人間が設定するため、どうしても似たり寄ったりなパスワードになったり、意味のある単語や数字の組み合わせ、良くないパターンとしては全く同じものを使用していたりします。また、ユーザーが自身でパスワードを見える形で入力します。
これらの性質上、入力を盗み見られたり、偽のログイン画面に入力してしまったりするとそれだけで簡単にアカウントが乗っ取られます。無論、二段階認証でメールやSMS認証が増えているためそういった場合はまだなんとかなることもあります。が、最近はそういった二段階認証を普通に突破してくる事例があるため、パスワードが知られないことが最重要です。
・パスキーの場合は？
ではここでパスキーだとどうなのでしょう？認証の仕方で紹介した内容をから整理してみましょう。
- パスワード認証の場合はパスワードはユーザーが決めます。
パスキーは秘密鍵と公開鍵を自動生成します。 - ログイン時、パスワード認証はパスワードの手入力が必要
パスキーは秘密鍵を使うのに端末自体のロック解除機能のために顔認証や指紋認証、パスコードを使用 - サーバーとのやり取りはパスワード認証はIDとパスワードを送る。
パスキーは暗号化前後のデータ（中身は意味のないもの）を送る。
パスワード認証におけるパスワードの部分はパスキーでは秘密鍵となります。そしてこの秘密鍵は自動生成で端末側に保存、通信でのやり取りには含まれず、端末で秘密鍵を使用する場合は端末のロック解除機能を使うため秘密鍵の中身が表示されることはありません。
さらにサーバー側の公開鍵は秘密鍵とは中身が異なるため公開鍵だけが流出したとしても意味はありません。
つまり、重要な「秘密鍵」は端末から外に出ることも表示されることもないんです。これでは盗もうにも盗めません。
そのためパスキーはセキュリティ上非常に強固な仕組みとされています。
【パスキーの弱点】
しかし、パスキーにも弱点はあります。それは秘密鍵が端末にしか保存されておらず、中身自体が確認できないことです。そのため別端末からログインをしようにも秘密鍵のコピーができず、ログイン不可能というユーザーとしては非常に不便な仕様です。
そのためにパスワード認証やメール認証・SMS認証などの二段階認証で別端末からでもログイン可能なサービスは多いです。
なお、このパスキーの弱点はApple・Google・Microsoftがそれぞれ解決してくれています。それがパスワードマネージャーと同期パスキーです。各社のパスワードマネージャーが秘密鍵を別の暗号化を施して保存し、同じアカウントの端末でのみ使用可能な状態に復元可能にすることで、複数端末でも端末自体のアカウントが同じであれば同じ秘密鍵を利用可能になります。
結局のところパスワードマネージャーを利用しているサービスのアカウントが乗っ取られると非常に危険というのはありますが、そこは各社現在使用中の別端末で認証や同様にSMS認証などで守られているため、情報が漏れると危険な数や乗っ取れるチャンスが少ないパスキーのほうがよりセキュリティ上安全性が高いと言えます。
【今後のパスワード認証について】
おそらく完全な廃止はまだまだ先ではないかと思います。Microsoftアカウントは2026/7/20時点でパスワードレス設定が可能ですがそれでも任意です。ですが今後パスワードのないパスキーのみは増えてくるはずです。念のため、時間のある時にご自身のパスワード、パスキーの状況をご確認ください。
【まとめ】
今回はパスキーに関してはざっくりとした内容ではありますが仕様やパスワードとの違い、セキュリティ上注意点などの解説でした。
ただ、パスキーは強固になった分、何かあった場合（端末が損傷した機種変更した）などに備えてパスキーの別端末での認証や回復手段について自分の使用状況に適した情報を調べておく必要があります。
参考になれば幸いです。