パスキーの仕組みをわかりやすく解説｜FIDO2との違いや安全な理由とは

「パスキーという言葉はよく聞くけれど、仕組みがいまひとつ分からない」「なぜパスワードより安全なのか、導入して問題ないのか知りたい」。そう感じている担当者の方は多いのではないでしょうか。

パスキーはいま急速に普及しており、FIDOアライアンスによれば国内では、導入済みまたは導入を予定している企業が2025年12月時点で少なくとも55社に上り、前年から2倍近くに増えています。

この記事では、パスキーの仕組みを整理したうえで、安全とされる理由、そして導入前に知っておくべき注意点までを整理します。
出典：日本経済新聞「脱パスワード技術『パスキー』、国内導入が倍増」（2025年12月5日）

パスキーとは？パスワードとの違い

まずはパスキーの基本を押さえましょう。パスキーが何を指し、従来のパスワードと何が根本的に違うのかが分かると、その後の仕組みの説明が理解しやすくなります。

パスキーとは、パスワードを使わずにデバイスの生体認証（指紋・顔認証）やPINによってWebサービスやアプリにログインする認証方式です。スマートフォンやPCに搭載されたセキュリティ機能を活用し、国際標準規格「FIDO2/WebAuthn」に基づいて設計されています。GoogleやApple、Microsoftといった主要プラットフォームが対応を進めており、2025年以降、国内でも金融機関やECサービスを中心に導入が急速に増えています。

パスワード認証では、利用者が設定した文字列をサービス側のサーバーに保存し、ログイン時に入力された文字列と照合します。つまり「共有された秘密」がサーバーに存在するため、そのデータが漏えいすれば直接被害につながります。パスキーは、この「サーバーに秘密を預ける」という構造を根本から変えます。秘密鍵はデバイス内の安全な領域に保管され、外部に送信されることはありません。サービス側が持つのは「公開鍵」のみで、これが漏えいしても認証を突破することはできません。

パスキーの仕組み｜公開鍵暗号とFIDO2/WebAuthn

パスキーが安全である理由は、その技術的な仕組みにあります。ここでは中核となる「公開鍵暗号」と、標準規格である「FIDO2/WebAuthn」について、順を追って説明します。

公開鍵暗号とは

パスキーの認証は「公開鍵暗号方式」を利用しています。この方式では、対になる2つの鍵（秘密鍵と公開鍵）を使います。

• 秘密鍵：利用者のデバイス内に安全に保管。外部には絶対に送り出さない。
• 公開鍵：サービス側のサーバーに登録。漏えいしても認証の突破には使えない。

ログイン時の流れは次のようになります。

1. サービス側が「チャレンジ（乱数）」を送る
2. デバイス内の秘密鍵でそのチャレンジに署名を付ける
3. 署名をサービス側に送る
4. サービス側が公開鍵で署名を検証し、本人確認を完了する

この一連の処理は、デバイスが生体認証（指紋・顔）またはPINで「本人の操作」であることを確認した場合にのみ実行されます。つまり、デバイスの物理的な占有と生体情報の両方がそろわないと認証できません。なお、生体情報そのものはデバイス内で照合されるだけで、サーバーには送信されないため、プライバシー面でのリスク低減にもつながります。

FIDO2とWebAuthnの違いと関係

「FIDO2」はFIDOアライアンスが策定した認証の国際標準規格です。WebAuthn（Web Authentication）はFIDO2の一部で、WebブラウザとWebサービス間の認証を標準化するAPIを指します。パスキーは、このWebAuthnを活用した認証の実装形態と理解するとわかりやすいでしょう。FIDOアライアンスにはGoogle・Apple・Microsoft・Samsung・PayPalなどが参加しており、標準規格としての信頼性・互換性が担保されています。

パスキーが安全とされる3つの理由

仕組みを踏まえると、パスキーがなぜ安全なのかが具体的に見えてきます。ここでは、従来のパスワード認証が抱えていた課題をどう解消するのか、3つの観点から説明します。

理由1：フィッシング攻撃が原理的に通用しにくい

パスキー最大のメリットは、フィッシング耐性の高さです。秘密鍵は登録時のドメイン（URLの正確な一致）と紐付けられており、WebAuthnはドメインを確認したうえで認証情報を渡す仕様です。そのため、正規サイトに似せたURLのフィッシングサイトに認証情報が渡ることはありません。従来のパスワード認証では、利用者が「本物だと思って」入力してしまうことが攻撃の起点でしたが、パスキーはその起点そのものを無効化します。

ここで、パスワード認証・多要素認証（SMS等のワンタイムパスワード併用）・パスキー認証の3方式を比較して整理しておきましょう。

こうして並べると、パスキーがフィッシング・リスト型攻撃・サーバー漏えいのいずれに対しても構造的に強く、かつ利用者の手間も少ないことがわかります。

理由2：リスト型攻撃（credential stuffing）に強い

リスト型攻撃とは、他のサービスから漏えいしたIDとパスワードの組み合わせを使って、別のサービスへの不正ログインを試みる攻撃です。パスキーはパスワードが存在しないため、そもそもリスト型攻撃の対象になりません。漏えいしたパスワードリストが流通しても、それを使ってパスキー対応サービスに侵入することはできません。

理由3：サーバー漏えい時のリスクを最小化できる

パスワード認証では、サービス側のデータベースにパスワード（または一方向性ハッシュ）が保存されます。パスキーの場合、サーバーに保存されるのは公開鍵のみです。公開鍵は文字どおり「公開されても問題ない情報」であり、漏えいしても認証の突破には使えません。サーバー側の漏えいリスクを構造的に低減できる点は、システム運営者にとって大きなメリットです。

導入前に知っておきたいパスキーの注意点

パスキーは優れた認証方式ですが、導入を検討するうえで把握しておくべき課題もあります。良い面だけでなく、現実的な論点も理解しておきましょう。

注意点1：同期型とデバイス固定型で性質が異なる

パスキーには、クラウド経由で複数デバイス間に鍵を同期する「同期型」と、特定のデバイス内に鍵を保持する「デバイス固定型」があります。同期型はApple・Google・Microsoftのアカウントを通じて端末を入れ替えても使えて利便性が高い一方、プラットフォームのアカウントが乗っ取られた場合のリスクや管理コストが増えます。デバイス固定型（セキュリティキーなど）はより堅牢ですが利便性に影響します。金融機関ではセキュリティを重視してデバイス固定型を採用する事業者が多い傾向です。
出典：デロイト トーマツ「金融機関向け パスキー導入時の論点」（2025年12月）／サイバートラスト

注意点2：スマホ非保有層・機種変更への配慮が必要

生体認証対応のスマートフォンを持たない利用者や、機種変更時の再登録に不安を感じる利用者への配慮が必要です。PCのWindows Helloや外付けセキュリティキーで補完できるほか、当面はパスワード認証との併用を維持する運用設計が現実的です。

注意点3：クロスデバイス認証の運用に注意する

PC画面のQRコードをスマートフォンで読み取ってログインする「クロスデバイス認証」については、運用次第で攻撃シナリオが指摘されることもあります。2025年の日本証券業協会のパブリックコメントでも、パスキーの実装方法に関する論点が複数寄せられました。パスキーを「導入すれば万全」と捉えるのではなく、適切な実装と、他の対策との組み合わせが重要です。
出典：日本証券業協会ガイドライン改正案へのパブリックコメント（2025年）／インテック

パスキーを既存システムに導入するには

仕組みと注意点を理解したうえで、次に気になるのは「どうやって自社のシステムに導入するか」でしょう。ここでは現実的な導入方法を説明します。

FIDO2/WebAuthnを一から実装するとなると、専門的な開発知識が必要です。しかしSPIRAL® ver.1のパスキー認証機能を使えば、ローコード設計で既存の会員サイトやWebフォームにパスキー認証を追加できます。

既存のID/パスワード認証との併用も可能なため、すべての利用者を一斉に切り替えるのではなく、段階的に移行する運用設計もできます。「まず新規登録者から」「スマートフォンユーザーから」といった柔軟な導入ができ、前述のスマホ非保有層への配慮もしやすくなります。

まとめ

パスキー認証は、公開鍵暗号とFIDO2/WebAuthnを基盤とした次世代の認証方式です。パスワードという「共有された秘密」を排除することで、フィッシング・リスト型攻撃・サーバー漏えいという3つの主要なリスクを構造的に低減します。一方で、同期型かデバイス固定型か、スマホ非保有層への対応など、導入前に押さえるべき論点もあります。

利用者体験の向上とセキュリティ強化を同時に実現できる点は、会員サイトやマイページを運営する企業にとって大きな強みになります。SPIRAL® ver.1 なら、ローコードで導入工数を抑えながらパスキー認証を実装できます。 パスキー認証にご関心のある方は、ぜひお気軽にお問い合わせください。

パスキーに関するよくある質問

パスキーの仕組みや導入について、よく寄せられる質問をまとめます。

Q：パスキーとパスワードは何が一番違うのですか？

A：パスワードは「サーバーに保存された秘密」を照合する方式ですが、パスキーは秘密鍵をデバイス内だけに保管し、サーバーには公開鍵しか置きません。そのため、サーバーが漏えいしても認証を突破されず、フィッシングでも盗まれにくいという根本的な違いがあります。

Q：パスキーとFIDO2、WebAuthnはどう違うのですか？

A：FIDO2はFIDOアライアンスが定めた認証の国際標準規格で、WebAuthnはその一部を構成するWeb向けのAPIです。パスキーは、これらの標準に基づいて実装された認証の形態を指します。おおまかには「FIDO2/WebAuthnという規格を使って実現したものがパスキー」と理解すれば問題ありません。

Q：機種変更するとパスキーは使えなくなりますか？

A：同期型パスキーであれば、iCloudキーチェーン（Apple）やGoogleパスワードマネージャーなどでクラウド同期されるため、機種変更後もアカウント設定で利用を継続できます。デバイス固定型を採用する場合は、バックアップ認証手段や再登録フローを用意しておくことが重要です。

Q：パスキーを導入すれば不正アクセスは完全に防げますか？

A：フィッシング耐性は非常に高いものの、クロスデバイス認証の運用方法などによっては論点も指摘されています。「導入すれば万全」ではなく、適切な実装と他の対策との組み合わせが前提です。

Q：パスキーは高齢者でも利用できますか？

A：はい、利用できます。
パスキーは指紋認証や顔認証などを利用するため、複雑なパスワードを覚える必要がありません。スマートフォンのロック解除と似た操作で利用できるため、分かりやすい認証方式として普及が進んでいます。