生体認証とパスキーは、何が違う？

証券口座への侵入が疑われる、というニュースが出ました。パスキーを設定していた口座でも侵入の疑いがある、と伝えるものです。「生体認証もパスキーも入れていたのに、なぜ？」と不安になった人もいるはずです。

そもそも、生体認証とパスキーは、同じものを指す言葉ではありません。役割が違う2つのしくみで、いつも重ねて使われます。違いを押さえると、ニュースの見え方も変わります。

パスキーは「鍵そのもの」

パスキー は、サインインに使う鍵のペアです。サイト側に公開鍵、自分の端末側に秘密鍵を持ち、サインインのときは、サイトからの求めに対して秘密鍵で署名して返します。

秘密鍵は、スマホやパソコンの中、またはアカウントに同期されるキーチェーンに保管され、サイトの側へは渡りません。鍵はサイトごとに作られ、そのサイト（オリジン）に結びついているため、偽サイトでは署名が成立せず、フィッシング で盗まれる事故が起きにくい作りです。

生体認証は「本人確認」

生体認証は、指紋や顔で「いま端末を持っているのが持ち主か」を確かめる方法です。パスキーで使うとき、照合は端末の中で行われ、指紋や顔の情報が、サービスの側へ送られることはありません。

役割は、鍵を使う前の確認です。端末の PIN も、同じ役割を持ちます。

2つは、重ねて使うもの

実際のサインインは、この順で進みます。

1. 1

   サイトが求める

   サインインのページから、鍵での確認が求められます

2. 2

   端末が本人に確認する

   「この鍵を使っていいか」を、顔認証・指紋認証・PIN で持ち主に確認します

3. 3

   署名して返す

   確認が取れると、端末が秘密鍵で署名し、サイト側が公開鍵で確かめます

生体認証がパスキーの代わりになるのではなく、生体認証でパスキーを開ける、という関係です。ニュースで「生体認証の口座」「パスキーの口座」と言い方が揺れるのも、この2つがセットで動いているためと考えられます。

パスキーでも侵入されるのはなぜ？

今回の報道では、生体認証そのものが破られたのではなく、パスキーが結びつく Google や Apple のアカウントが乗っ取られ、パスキーを使われた可能性があるとされています。原因はまだ確定していないため、ここでは一般論として、鍵が強くても侵入が起きる経路を挙げます。

1つは、予備の入り方です。パスキーのほかに、パスワードと SMS のコードによるサインインや、パスワードの再設定の流れが残っていると、弱いほうから入られます。鍵を強いものに替えても、別の入り方が開いていれば、そこが入口になります。

もう1つは、サインイン後のセッションです。パスキーが守るのは「入るとき」までで、入った後の接続（セッション）を盗まれると、鍵の強さとは関係なく操作されます。

そして、パスキーの同期先のアカウントです。パスキーが Google や Apple のアカウントで同期されている場合、そのアカウントを乗っ取られると、別の端末からパスキーを使われるおそれがあります。

仕事で使うサービスでも、見る点は同じです。

1. 1

   予備の入り方を確認する

   パスキー以外に、パスワードだけのサインインや、再設定の方法がどうなっているかを確認します

2. 2

   再設定の連絡先を確認する

   再設定に使うメールアドレスや電話番号が、いまのものになっているかを見ます

3. 3

   サインインの履歴を見る

   見覚えのないサインインや端末が残っていないかを、ときどき確認します

どのサービスにパスキーを入れたか、予備の入り方をどうしたかは、仕事の決めごとです。決めたことは、CLUBS に記録として残ります。担当が替わっても、同じ前提で確認できます。