パスキー

パスキーとは何ですか？

パスキーは、公開鍵暗号に基づくパスワードレス認証のための認証情報です。パスワードのような共有シークレットを保存する代わりに、パスキーは、ユーザーのデバイスに安全に保存された秘密鍵と、サービス側に保存されるそれに対応する公開鍵で構成されます。

ユーザーが認証するとき、デバイスは暗号学的なチャレンジを用いて秘密鍵を保有していることを証明します。このプロセスにより、パスワードを送信または保存する必要がなくなり、フィッシングや資格情報の盗難への露出が低減されます。

パスキー認証はどのように機能しますか？

パスキー認証は、非対称暗号方式とデバイスに紐づけられた資格情報に依存します：

1. ユーザーがサービスに登録し、公開鍵／秘密鍵のペアを生成します。
2. 公開鍵はサービス側に保存され、秘密鍵はユーザーのデバイスに残ります。
3. ログイン中、サービスはチャレンジを送信します。
4. デバイスはプライベートキーを使用してチャレンジに署名します。
5. サービスは公開キーを使って署名を検証します。

認証は通常、生体認証またはデバイスの PIN でロック解除され、強力な暗号化と使いやすいアクセス制御を組み合わせます。

パスキー vs パスワード：違いは何ですか？

パスキーとパスワードは、本質的に異なる認証モデルを表します：

• パスワード： 再利用でき、推測され得る、または盗まれ得る共有の秘密
• パスキー： デバイスから決して出ていかない、固有の暗号化された認証情報

主な違い：

• パスキーはフィッシングに強いですが、パスワードはそうではありません
• パスキーは、システム間での認証情報の再利用をなくします
• パスキーは、端末のセキュリティとユーザーの存在に依存します
• パスワードはユーザーの行動とポリシーの適用に依存します

この転換により、攻撃者が依拠する主要な攻撃経路である「侵害された認証情報」が排除されます。

パスキーは安全ですか？

Passkeys は、共有シークレットを排除し、認証に非対称暗号方式を用いることで、セキュリティを大幅に向上させます。資格情報をネットワーク経由で送信する代わりに、認証は、プライベートキーがユーザーのデバイス外に一切出ないチャレンジ・レスポンス（challenge-response）方式で行われます。この設計により、資格情報の傍受や再利用に依存する攻撃の全カテゴリーを排除できます。

各 Passkeys は特定のドメインと暗号鍵ペアに紐づいているため、フィッシング攻撃は効果がありません。ユーザーがだまされて悪意のあるサイトにアクセスしたとしても、認証器（authenticator）は別のオリジンに対して有効な署名を生成しません。同様に credential stuffing および password spraying 攻撃は、サービスやアカウント間で再生（リプレイ）できる再利用可能なシークレットが存在しないため失敗します。さらに、各認証リクエストには再利用できない一意で時間制限付きのチャレンジが含まれるため、リプレイ攻撃も軽減されます。

ただし、Passkeys のセキュリティは絶対ではなく、いくつかの基盤となる制御に依存します。マルウェアや侵害されたデバイスが認証器インターフェイスを通じてプライベートキーにアクセスしたり、誤用したりする可能性があるため、エンドポイントの完全性（integrity）が重要です。キーの抽出を防ぐには、通常は TPM や secure enclaves のようなハードウェアに裏付けられたモジュールによって強制される、安全なキー格納が不可欠です。さらに、ID ライフサイクル管理は引き続き中核要件であり、プロビジョニング、リカバリー（recovery）、無効化（revocation）、デバイス同期（device synchronization）を含みます。特に、ユーザーが複数のデバイスや ID プロバイダーにまたがって運用する企業環境では重要です。

ユースケース

• 従業員のアクセスのためのパスワードレス認証
• SaaS およびクラウド アプリケーションのための安全なログイン
• Web およびモバイル アプリ向けのエンドユーザー認証
• パスワード リセットによるヘルプデスク業務の削減
• 強化する zero trust と ID（アイデンティティ）を起点にしたセキュリティ戦略

Netwrix がどのように支援できるか

パスキーの導入が進んでいますが、ほとんどの環境では依然としてパスワードが広く使われています。

組織は依然として service accounts、レガシーアプリケーション、ハイブリッドなID環境、およびオフラインシステムに対してパスワードに依存しています。これらの領域は、近代化が難しいうえに攻撃者が悪用しやすいため、リスクが最も高くなりがちです。

そのため、強力なパスワードポリシーの強制が引き続き不可欠です。

Netwrix Password Policy Enforcer は、パスワードがまだ必要とされる環境の領域を保護することで、パスキー導入を補完します。

Netwrix を使うと、次のことができます：

• 使用される前に、弱いパスワードや侵害されたパスワードをブロックします
• ハイブリッド Active Directory と Entra ID 環境全体できめ細かなポリシーを適用します
• パスワードスプレー攻撃や認証情報ベースの攻撃への露出を低減します
• リアルタイムのフィードバックを提供し、ユーザーが最初の試行で準拠したパスワードを作成できるようにします
• NIST 800-63B や PCI DSS などの標準に準拠します

セキュリティとは、どこにでもあるパスワードをすべて排除することではありません。

パスワードがまだ存在する場所では、どこでもそれを管理することが重要です。