FIDOとパスキーの違い・関係
FIDOとパスキーは、どちらもパスワードに頼らない認証に関係する言葉ですが、意味する範囲が異なります。FIDOはパスワードレス認証を実現するための技術仕様の総称で、パスキーはFIDOの技術を利用した認証情報です。まずは両者の関係と、生体認証との違いを整理しましょう。
FIDOは認証の技術仕様、パスキーは認証情報
FIDO（ファイド）は、公開鍵暗号を利用して安全な本人認証を実現するための技術仕様の総称です。現在広く利用されているFIDO2では、Webサービスと認証器の間でパスワードを送受信せずに認証できます。
一方、パスキーはFIDO2やWebAuthnの仕組みを利用して作成されるログイン用の認証情報です。つまり、FIDOとパスキーは競合する別々の認証方式ではありません。「認証を実現する技術仕様」と「その仕組みにもとづく認証情報」という関係にあります。
パスキーと生体認証も役割が異なる
パスキーは顔認証や指紋認証そのものではありません。顔や指紋、PINなどは、端末に保存されたパスキーを利用できる本人かどうかを確認するために使われます。
例えば、パスキーでログインする際にWindows Helloやスマートフォンの顔認証を行った場合、生体認証によって端末側で本人確認を行い、その後パスキーを使ってサービスとの認証を実行します。通常、生体情報そのものがログイン先のサービスへ送信されるわけではありません。
FIDO・FIDO2・WebAuthnとパスキーの仕組み
FIDOとパスキーの関係を理解するうえでは、公開鍵暗号による認証の仕組みと、FIDO2やWebAuthnといった関連用語の位置づけを押さえておくことが重要です。
公開鍵暗号によってパスワードなしで認証する
FIDO認証では、公開鍵暗号を利用します。サービスへ認証情報を登録すると、認証器側に秘密鍵、サービス側に公開鍵が登録されます。秘密鍵は原則として認証器から外部へ送信されません。
ログイン時には、サービスから送られた情報に対して秘密鍵を使って署名し、サービス側が登録済みの公開鍵を使って正当性を確認します。パスワードのような共通の秘密情報をサービスとの間でやり取りしないため、認証情報の漏えいやフィッシングによる不正利用のリスクを抑えられます。
FIDO2・WebAuthn・CTAP・パスキーの関係
現在のパスワードレス認証で中心となっているのがFIDO2です。FIDO2は、Webサービスとブラウザなどの間で認証を行う「WebAuthn」と、パソコンやスマートフォンと外部認証器などを接続する「CTAP」を組み合わせた仕組みです。
パスキーは、このWebAuthnをはじめとするFIDOの技術にもとづいて利用される認証情報です。そのため、FIDO2やWebAuthnは技術仕様を説明するときに使われる言葉、パスキーは実際のログイン方法を利用者向けに表す言葉、と考えると整理しやすいでしょう。
パスキーの種類と使い方
パスキーには、複数の端末で利用できるタイプと、特定の端末や認証器に保存するタイプがあります。それぞれの特徴に加えて、Windows Helloを利用する場合や、登録からログインまでの基本的な流れを解説します。
同期パスキーとデバイス固定パスキー
パスキーは、保存・利用方法によって「同期パスキー」と「デバイス固定パスキー」に大きく分けられます。
同期パスキーは、クラウドサービスなどを介して同一アカウントの複数端末で利用できるタイプです。スマートフォンやパソコンを買い替えた場合にも利用を継続しやすく、利便性に優れています。
一方、デバイス固定パスキーは、特定の端末やセキュリティキーなどに認証情報を保存します。複数端末へ同期しないため、認証情報を特定の機器内で管理したい場合に適しています。企業では、利便性だけでなく端末管理やセキュリティポリシーも踏まえて方式を選択することが重要です。
Windows Helloでもパスキーを利用できる
Windows Helloは、顔認証や指紋認証、PINを使ってWindowsへサインインする機能です。対応するWindows環境では、Windows Helloを利用してパスキーによるWebサービスへの認証も行えます。
この場合、顔や指紋などによる確認はパソコン側で行われ、サービスとの認証にはパスキーが利用されます。対応端末であれば外付けの認証機器を用意せずに利用できるため、企業におけるパスワードレス認証の選択肢の一つになります。
パスキーの登録からログインまでの流れ
一般的には、対応サービスのアカウント設定画面などから「パスキーを作成」といった項目を選択し、端末の案内に従って顔認証や指紋認証、PINなどで本人確認を行います。認証が完了すると、そのサービスで使用するパスキーが登録されます。
次回以降はログイン画面でパスキーを選択し、端末側で本人確認を行えばログインできます。サービスによってはユーザー名やパスワードの入力も不要になるため、パスワードを記憶・入力する負担や、使い回しによるリスクを軽減できます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で生体認証の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
パスキー・FIDOを利用するメリット
パスキーを利用したFIDO認証は、セキュリティ強化だけでなく、ユーザーのログイン負担軽減にもつながります。代表的なメリットを見ていきましょう。
フィッシングによる認証情報の窃取を防ぎやすい
パスキーは、認証情報を登録したWebサイトやサービスと関連付けて利用されます。そのため、正規サービスに似せた偽サイトへ誘導された場合でも、正規サイト用のパスキーを使って認証することはできません。
利用者がパスワードを入力する必要もないため、偽サイトへパスワードを入力させて盗み取るフィッシング攻撃への対策として有効です。
パスワード管理の負担を軽減できる
従来のパスワード認証では、複雑なパスワードをサービスごとに設定・管理する必要があります。パスキーを利用すれば、パスワードを記憶したり入力したりする必要がなくなり、パスワードの使い回しや入力ミスといった問題も減らせます。
企業にとっても、パスワード忘れによる問い合わせや再設定作業を削減できる可能性があり、利用者と管理者双方の負担軽減につながります。
パスキー導入時のデメリット・注意点
パスキーには多くのメリットがありますが、導入すればすべての認証課題が解決するわけではありません。端末の紛失やアカウント復旧、既存システムとの互換性などを考慮して運用を設計する必要があります。
端末紛失時の復旧方法を用意する必要がある
デバイス固定パスキーを利用している場合、登録した端末やセキュリティキーを紛失・故障すると、そのパスキーを利用できなくなる可能性があります。同期パスキーでも、同期元となるアカウントへアクセスできなくなった場合には復旧が必要です。
そのため、複数の認証手段を登録する、予備の認証器を用意する、管理者による再登録手順を決めるなど、アカウント復旧の方法をあらかじめ設計しておくことが重要です。
利用環境によって対応状況が異なる
パスキーへの対応は広がっていますが、すべての業務システムやWebサービスで利用できるわけではありません。古いシステムや端末、ブラウザなどでは対応できない場合もあります。
企業で導入する際には、対象となるOSやブラウザ、スマートフォン、業務システムなどの対応状況を確認し、既存環境で問題なく利用できるか検証する必要があります。
パスワードとの併存期間が必要になる場合もある
社内システムや利用端末を一度にすべてパスキー対応へ切り替えるのは難しいケースもあります。その場合は、パスキーを基本の認証手段としながら、一部の非対応環境では既存のパスワード認証を残すといった段階的な移行が現実的です。
ただし、パスワードを予備の認証手段として残す場合、そのパスワードが攻撃経路になる可能性もあります。どの認証方式をフォールバックとして認めるのかまで含めて、セキュリティポリシーを設計しましょう。
企業がパスキー・FIDOを導入するポイント
企業でパスキーを導入する際には、対応製品を導入するだけでなく、対象システムや認証方式、アカウント復旧方法などを含めた運用設計が重要です。導入前に確認しておきたいポイントを紹介します。
対象システムと認証要件を整理する
まず、どの業務システムやクラウドサービスをパスキー対応にするのかを明確にします。一般的な社内サービスでは同期パスキーを利用する、重要な情報を扱う業務ではデバイス固定パスキーやセキュリティキーを利用するなど、リスクに応じて認証方式を検討しましょう。
既存のID管理システムやSSO、多要素認証との連携可否も確認します。利用端末やアカウント管理方法まで含めて要件を整理しておけば、導入後の手戻りを防ぎやすくなります。
小規模な範囲から段階的に導入する
全社へ一斉導入するのではなく、まず情報システム部門など一部のユーザーを対象に試験導入するとよいでしょう。パスキーの登録やログイン、端末交換、アカウント復旧などを実際に試し、運用上の課題を確認します。
その後、対象部署を順次広げながら利用者向けのマニュアルや問い合わせ対応を整備します。パスワード認証を廃止する場合も、一度に切り替えるのではなく段階的に移行することで、業務への影響を抑えやすくなります。
紛失・退職・端末交換まで含めて運用を設計する
パスキーの導入後は、端末の紛失や故障、機種変更などにともなう再登録が発生します。本人確認の方法や再登録を担当する部署、問い合わせ窓口などをあらかじめ決めておきましょう。
また、従業員の退職や異動時には、利用していた端末やアカウントへのアクセスを適切に停止する必要があります。認証情報の登録状況を管理できる仕組みや、端末・ID管理と連携した運用まで含めて検討することが重要です。
まとめ
FIDOはパスワードに依存しない認証を実現する技術仕様の総称で、パスキーはその技術を利用した認証情報です。また、顔認証や指紋認証などの生体認証はパスキーそのものではなく、端末側で本人確認を行うための手段として利用されます。
パスキーはフィッシング対策やパスワード管理の負担軽減に有効ですが、端末紛失時の復旧方法や既存システムの対応状況など、導入前に検討すべき点もあります。企業で活用する際は、自社のセキュリティ要件に適した方式を選び、試験導入や運用体制の整備を進めながら段階的にパスワードレス化を進めましょう。
