パスキーとは
パスキーは、パスワードを使わずに、端末の生体認証やPINでログインする認証方式です。公開鍵暗号を使い、FIDO2 / WebAuthn という標準規格に準拠しています。
3つの特徴
| 特徴 | 内容 |
|---|---|
| フィッシングに強い | チャレンジ＆レスポンス方式のため、偽のサイトでは認証が成立しません |
| パスワードが不要 | 秘密鍵は端末内に保存され、外部へは送られません |
| 多要素認証を内包 | 端末の所持と、生体認証またはPINを、1回の操作で満たします |
仕組み
登録（アカウント作成時）
- 端末から登録を要求し、サーバーがチャレンジを送る
- 生体認証で本人を確認し、端末で鍵のペアを作る
- 公開鍵と署名をサーバーへ送り、サーバーは公開鍵を保存する（秘密鍵は保存しない）
認証（ログイン時）
- 端末からログインを要求し、サーバーがチャレンジを送る
- 生体認証でロックを解除し、秘密鍵で署名する
- サーバーが公開鍵で署名を検証し、一致すればログインが完了する
パスワード認証との比較
| 項目 | パスワード認証 | パスキー認証 |
|---|---|---|
| フィッシング | 被害のリスクがある | 耐性がある |
| 情報漏えい | リスト型攻撃などのリスクが高い | 秘密鍵は端末内にあり、サーバーから漏れない |
| 利便性 | 複雑な文字列を覚える必要がある | 生体認証だけで完了する |
| 多要素認証 | SMSやアプリが別途必要 | 標準で内包 |
| サーバーに保存するもの | ハッシュ化したパスワード | 公開鍵のみ |
Login Plusで提供するもの
- パスキーの登録画面とログイン画面をLogin Plusが提供
- 登録されたパスキーを、自社の会員IDに紐づけるAPI
- 6つのソーシャルログインと同じ1つの実装で併用
- 準拠する規格：FIDO2 / WebAuthn（W3C）/ CTAP
ソーシャルログインとの併用
ソーシャルログインはアカウントを作る手間を省き、パスキーはパスワードを置き換えます。解決する問題が違うため、両方を並べて利用者に選んでもらう構成が、取りこぼしの少ない形です。考え方はパスキーとは、進め方はパスキー導入の進め方で解説しています。
よくある質問
パスキーを導入すると、パスワードは不要になりますか？
パスキーを登録した利用者は、ログインにパスワードを使わなくなります。全員がすぐに登録するわけではないため、当面はパスワードとの併用が現実的です。
既存の会員サイトにパスキーを追加できますか？
できます。登録されたパスキーを自社の会員IDに紐づけるAPIを用意しており、既存のログイン方法を残したまま追加できます。
ソーシャルログインと同時に導入できますか？
できます。6つのソーシャルログインとパスキーに、1つの実装で対応します。
ソーシャルログイン・パスキーの資料をお送りします
対応SNS・料金・実装の流れ・導入事例をまとめています。
「自社に導入できるか」のご相談も、同じフォームから承ります。
個別のご相談は からもどうぞ。