二要素認証とパスキーは、何が違う？

サインインを強くする方法として、よく並べて語られるのが二要素認証とパスキーです。どちらも「パスワードだけでは不安」という点から出てきたものですが、足し算か、置き換えか、という点で仕組みが違います。

二要素認証は「パスワード＋もう1つ」

二要素認証 は、パスワード（知っていること）に、種類の違うもう1つの確認を重ねる方式です。スマホに届く SMS のコード、認証アプリに表示される数字、手元の端末そのもの、などが「もう1つ」になります。

パスワードは土台として残ります。パスワードが漏れても、もう1つがなければ入れない、という作りです。

パスキーは「鍵に替える」

パスキー は、パスワードそのものを、鍵のペアに替える方式です。サイト側に公開鍵、端末側に秘密鍵を持ち、サインインのときは秘密鍵で署名して返します。覚える文字列がなくなり、本人確認は端末の生体認証や PIN で行います。

フィッシングへの強さの違い

違いが大きく出るのは、偽サイトへの入力です。

二要素認証のコードは、数字の入力なので、偽サイトにも入力できてしまいます。本物そっくりの偽サイトにパスワードとコードの両方を入力させ、その場で本物へ中継する手口もあり、コードを足しただけでは防ぎきれません。

パスキーは、鍵がサイト（オリジン）に結びついています。偽サイトでは署名が成立しないため、だまされて入力してしまう、という事故の起き方が違います。詳しくは フィッシング もあわせてどうぞ。

移行の考え方

どちらか一方に統一する、というより、サービスごとに対応を見ます。

1. 1

   パスキー対応のサービス

   パスキーを作って、そちらを主に使います。予備の入り方としてパスワードが残る場合は、その扱いも確認します

2. 2

   二要素認証のみのサービス

   二要素認証を入れます。SMS より、認証アプリ方式のほうが、電話番号の乗っ取りや SMS の横取りに強いとされます。ただ、どちらのコードも偽サイトには入力できてしまいます

3. 3

   移行の途中で見る点

   端末を替えたときの引き継ぎと、認証手段を失くしたときの復旧方法を、先に確認します

どちらを選んでも、「入れっぱなし」にしないことが大事です。予備の入り方と復旧の連絡先が古いままだと、そこが入口になります。

どのサービスで二要素認証を使うか、パスキーに移したかは、仕事の決めごとです。決めたことは、CLUBS に記録として残ります。担当が替わっても、同じ前提で確認できます。