Passkeyが変えるのはログイン方法であり、ただのパスワードの入力を減らすことではない

PasskeyはFIDO標準に基づくログイン方法であり、暗号鍵を従来のパスワードの代わりに使用します。ユーザーは依然として指紋、顔認識、PIN、またはデバイスのロック解除を用いて身元の確認を行いますが、繰り返し使用可能なパスワードをウェブサイトに入力する必要はありません。

ウェブサイトはあなたのパスワードではなく公開鍵を保存する

従来のパスワードは秘密の文字列であり、フィッシングサイトによって盗まれる可能性があり、データ漏洩によって他のサイトで繰り返し試される可能性があります。Passkeyが作成される際には一対の公開鍵と秘密鍵が生成され、サービスは公開鍵を保存し、秘密鍵はユーザーのデバイスまたはPasskeyプロバイダーに保持されます。ログイン時には暗号認証が行われ、パスワードが送信されることはありません。

これにより、ウェブサイトのデータベースが漏洩した際、攻撃者が他のサイトに繰り返し入力可能なパスワードを直接入手することがないということを意味します。Passkeyがクレデンシャルスタッフィングから保護する価値は、もはや繰り返し使用可能な共有秘密に依存しないことから来ています。

フィッシングに対して強靭だが、限界がないわけではない

Passkeyは正しいサービスのソースと関連付けられます。見た目が似た偽のログインページは、従来のパスワードのように手動で秘密の文字列を入力することを要求することはできません。注意が必要なのは、同じアカウントがSMS認証、弱い回復プロセス、またはカスタマーサービスのソーシャルエンジニアリングを容易に回避できる入口を持っている場合、攻撃者がより弱い回復チャネルを攻撃する可能性があることです。

有効化する前に回復手段を準備しておく

主要なメール、クラウドストレージ、決済ツール、仕事用アカウント、または主要なソーシャルメディアアカウントは、Passkeyを優先的に考えるべきです。しかし、有効化する前に信頼できる回復手段が用意されていることを確認してください。たとえば、予備デバイス、安全鍵、または回復コードなどです。また、サービスが依然として弱いログイン入口を保持しているかどうかも確認してください。

スマートフォンの交換やデバイスの紛失について考慮する

Passkeyには同期型とデバイス固定型の違いがあります。同期型は一般ユーザーがデバイスを超えて使用するのに適しており、デバイス固定型は特定のデバイスや安全鍵に依存する可能性があります。有効化後もアカウントの回復プロセスを確認することが重要で、そうしないとデバイスを紛失した際に別のログインの難しさが生じる可能性があります。

生体認証データは通常ウェブサイトに送信されません。指紋や顔認識は、ローカルでデバイスのロックを解除する確認が行われます。ウェブサイトが受け取るのは認証結果であり、あなたの指紋の画像や顔のデータではありません。