パスキー

パスワードとの大きな違いとしては以下の２点が上げられる

• ユーザー識別を行うID入力についても後述のDiscoverable Credentialが対応されている場合は入力する必要がなくなる。
• ユーザーの入力がないので、パスキーの登録を済ませておくことで従来のパスワード認証やメールやSMS(ショートメッセージサービス)を使用したコード認証よりも簡単に認証することが可能となる

• 端末からサーバーに送られる情報は「チャレンジ」データを署名したものであり、パスワードやコード認証と違い入力文字列が使いまわされることがない
• ウェブサイトのドメインごとにパスキーが生成されるため、ドメインが違うフィッシングサイトでは使えないことや署名に使用するパスキー自体もウェブサイトには送られないためフィッシング詐欺を困難にしている

同期パスキーは、Apple、Google等のサービスが提供するユーザーのアカウント（Apple IDやGoogleアカウント等）に紐付けて、同一アカウント配下の複数端末でユーザーが同じパスキーを使えるようにしたものである。パスワードマネージャーでのパスワード管理と同じような方法である[1]。

同期パスキーは、Apple, Googleというプラットフォーマーが提供するだけではなく、1Password, DASHLANE, LastPass, bitwardenのような従来パスワードマネージャーを提供してきた会社も同期パスキーを提供し始めている。ユーザーから見ると、選択肢や自由度が増えると同時に、パスワードとパスキーが同じような使い方ができるようになってきている。

同期パスキーは、従来のFIDO認証の高いセキュリティの裏返しである、アカウントリカバリーや異なる端末でにパスキーの共有が難しいという課題を解決している。例えば、FIDO認証資格情報を格納している１つのデバイスを紛失してしまっても同期パスキーとして登録されていたら、他の端末でパスキーをリカバリーすることが可能となる。また、端末紛失時に限らず、新端末を購入したときなどでも、この利便性が享受できる。

但し、この利便性を得るため、新たに同期パスキーを管理するサービスを取り込んだので、それに纏わるセキュリティの攻撃範囲が増えていることは事実であり、議論はある。しかし、これらのサービスは既にパスワードマネージャーとして広く使われており、これがパスキーを取り込むことでますます広く普及する傾向にある。

同期パスキーがどこまで安全かという議論はあるものの、下記の理由によって、同期パスキーは大きな注目を集め、これをサポートするサービスが急速に増えている。

• 高いセキュリティ：　パスワードより、高いセキュリティを提供。特にフィッシング耐性が高い。
  • パスワードのようにフィッシングで攻撃者が同期パスキーを盗むことは原理的に不可能。
• パスワード同等の利便性：　パスワードマネージャで使えて、パスワードと同等の利便性を提供している
  • 複数端末で同じ同期パスキーが使える
  • 端末紛失しても他の端末で利用可能
  • 一部のOSで同期パスキーを共有することが可能（AppleのAirDrop）
• 全OS・プラットフォームのサポート：　全てのOS・プラットフォームベンダーがサポートし、パスキーを従来のパスワードと同じようにパスワードマネージャで提供した

同期パスキーとは違いFIDO認証資格情報が端末に紐づいており、クラウドでの同期などができない。

FIDO認証資格情報がデバイスの外に出ないため所持認証の意味合いが同期パスキーよりも強く、プラットフォームベンダーのセキュリティ強度に依存しない。

同期パスキーと違い、端末との紐づけが強いのでアカウントリカバリーを行うことが難しく、実際にアカウントリカバリーを行うときはパスキーの再登録が必要になる。

扱い的には秘密鍵をデバイスのセキュア領域で格納し、外部に出さなかった従来のFIDO認証と同じような扱いになる。

高いAuthenticator Assurance Level（AAL）を要求する決済サービスや金融サービスでの需要がある。

パスキー認証ではWebAuthnを使用したFIDO2準拠の技術が用いられている。

WebAuthnは公開鍵暗号方式を用いて認証が行われる。パスキー認証は以下のような「登録」と「認証」のフローがある。

1. サーバーがそのフローでのみ利用されるランダムな文字列（チャレンジ）を送信
2. クライアントがデバイス内で公開鍵ペアを作成
3. パスキー（秘密鍵を含むFIDO認証資格情報）を端末内のセキュア領域に保存する
4. 公開鍵、チャレンジ、それらの署名データをサーバーに送信
5. サーバーは受信した公開鍵を用いてチャレンジや署名データを検証
6. 検証が成功した場合、公開鍵をユーザーアカウントに紐づけて保存する

1. サーバーがそのフローでのみ利用されるランダムな文字列（チャレンジ）を送信
2. クライアントはユーザーアカウントに紐づいているパスキーを選択
3. 送信されたチャレンジに対してパスキーの中に含まれている秘密鍵で署名してサーバーに送信する
4. サーバーは保存している公開鍵で受信した署名データを検証
5. 検証に成功した場合、認証成功とする

以上はWebAuthnを使用したブラウザ上での動作になるが、AndroidやiOSなどのネイティブアプリからでもFIDO2をサポートしたAPIを使用して同様のフローが実現されている。

Discoverable Credentialはパスキーをユーザー識別子と一緒にクライアント側に保存する。ユーザーがパスキーを用いてウェブサイトやアプリへログインする際、クライアントがアクセスできる範囲内で、当該サイトに登録済みのすべてのパスキーを検索し、パスキーが存在するすべてのユーザー識別子をアカウントチューザーを用いて候補として提示する。そして、ユーザーはその中から希望するユーザー識別子を選択することで、そのユーザー識別子でサイトにログインすることできる。即ち、ユーザーはユーザー名を入れたり、サーバー側からクライアントにユーザー名を教える必要がなくなる。

Discoverable Credentialとアカウントチューザーによって、ログイン時のユーザー体験が向上する。同期パスキーの場合は、この機能がクラウド経由で当該ユーザーの他の端末にも共有され、同じインタフェースを提供することが可能となっている。

Discoverable Credentialに対応することで、FIDO認証資格情報とIDの組み合わせをログイン時に自動で提示する（オートフィル）ことが可能になる。WebAuthnの認証フローと相まってログイン時に文字列入力をする必要がなくなり、ユーザーがログインを行うハードルを下げることが可能になる。

Conditional UIを使用することによってオートフィルに表示されたアカウントを選択するだけでログインが可能となり、パスワードを使っている時のオートフィルとユーザー体験が変わらないため、パスワードからパスキーへの移行をスムーズに行うことが可能になる。

• 5月5日(木) - Apple、Google、Microsoftの3社が、パスキーへの対応を表明[2][3]。なお毎年5月第1木曜日は、「世界パスワードの日（World Password Day)」である。
• 6月6日 - Appleのティム・クックCEOが、WWDC22の基調講演内で、次期iOSにパスキーの機能を搭載することを表明[4][5]。
• 9月13日 - AppleがiOS 16にて、パスキーへの対応を開始[6]。iCloudキーチェーンにて各種アカウントの認証資格情報の管理が可能となる。追って、iPadOS 16（2022年10月24日)、macOS Ventura（2022年10月24日)でもパスキーへの対応開始。（Apple ID自体はパスキーに非対応[7]）
• 12月15日 - Chromeのパスワードマネージャーにて、各種アカウントの認証資格情報の管理が可能となる[8]。

• 3月14日 - Yahoo! JAPANが、Yahoo! JAPAN IDへのパスキー対応を開始[9]。
• 4月3日 - マネーフォワードが、マネーフォワードIDへのパスキー対応を開始[10][11]。
• 4月5日 - NTTドコモが、dアカウントへのパスキー対応を開始[12]。
• 4月14日 - メルカリが、一部のログインにパスキーへの対応を開始[13]。2024年1月29日、全てのログインにパスキーを展開[14][15]。
• 5月3日 - Googleが、Google アカウントへのパスキー対応を開始[16][17]。
• 5月16日 - アドビが、パスキーへの対応を開始[18]
• 6月22日 - Microsoft Windows 11がInsider Preview Build 23486にて、各種アカウントの認証資格情報の管理としてパスキーへの対応を開始[19]。同年9月配信開始の「Windows 11 22H2 Moment 4」で、パスキーを正式にサポート開始[20]
• 6月14日 - PayPalが、日本においてパスキーへの対応を開始[21][22]（米国では2022年10月に開始済み[23][24]）
• 6月28日 - オプテージが、mineoとeo光で使用するeoIDへのパスキー対応を開始[25][26]。
• 7月12日 - GitHubが、パスキーへの対応を開始[27]
• 7月18日 - TikTokが、パスキーへの対応を開始[28][29]
• 8月 - MIXIが、MIXI Mへのパスキー対応を開始[30][31]
• 9月20日 - 1Passwordが、パスキーへの対応を開始[32][33]
• 9月21日 - 任天堂が、ニンテンドーアカウントへのパスキー対応を開始[34][35]
• 10月10日 - Googleが、パスキーを個人向けGoogleアカウントの標準とした[36][37]
• 10月23日 - Amazonが、パスキーへの対応を開始[38][39][40]
• 10月25日 - ヌーラボが、パスキーへの対応を開始[41]
• 10月26日 - Uberが、パスキーへの対応を開始[42]

• 1月23日 - X (ソーシャル・ネットワーキング・サービス)が、パスキーへの対応を開始[43][44]
• 2月26日 - ソニー・インタラクティブエンタテインメントが、PlayStation Networkへのパスキー対応を開始[45][46]
• 3月25日 - はてなが、パスキーへの対応を開始[47][48]

他に、企業等が構築するVPN環境へ、パスキーを用いてログインするソリューションも存在する[49][50]。