たった4桁の「パスキー」がパスワードより安全ってホント？ パスキーの登録方法も徹底解説！

近頃、利用しているWebサービスやアプリから「パスキーを設定しましょう」と案内される機会が増えてきているのではないでしょうか。しかし「パスキーは本当に必要？」「パスワードより本当に安全なの？」と疑問を抱く人も多いはず。そこで、本記事ではパスキーの仕組みや登録方法を解説します。

パスワードのままだと危ない？

パスワードは、誕生日や「1111」といった単純で推測しやすいものや、同じものを使いまわしている場合、不正ログインされるリスクが高まります。また、自身が十分に注意していても、企業がハッキングされてパスワードが漏えいするケースもあります。

このようなリスクを避けるために、最近は「ソーシャルログイン」を採用するサービスが増えてきています。

ソーシャルログインとは

ソーシャルログインは、Webサービスやアプリへログインする時に、「LINEでログイン」「Googleでログイン」など既存のアカウントを使って他のサービスにログインする仕組みです。新しいパスワードを設定せずに済み、ログイン情報をそのサービスに預けなくてよいというメリットがあります。

しかし、ソーシャルログインに使うサービスからパスワードが流出してしまったら元も子もないので、そちらのセキュリティー強化も欠かせません。

セキュリティーを強化する「多要素認証」

安全性を高めるためには、パスワードのように単一の情報ではなく、複数の要素を使う「多要素認証」が重要です。多要素認証では、本人確認のために異なる3つの要素のうち、2つ以上を使います。

本人確認の要素

・「知識」：パスワード、PINコード
・「所持」：スマホ、PC、セキュリティーキー
・「生体」：指紋、顔、虹彩

例えば、パスワード入力後に、SMSへ送られてくるコードを使ってログインしたことはありませんか。これは「知識」であるパスワードと、「所持」であるスマホの2つの要素で認証している多要素認証です。

ただ、多要素認証にも安全性にばらつきがあり、全てが安全とは限りません。上記の例のようなSMSに送られてくるコードを使う認証でも、詐欺用の偽サイトにコードを入力してしまいアカウントが乗っ取られたという事例もありました。

そこで、多要素認証のなかで最も安全と言われ、注目されている「パスキー」の設定がすすめられているのです。

パスキーは本当に安全なの？

パスキーを登録すると、顔認証や指紋認証だけでログインでき、パスワード入力は不要です。PCの場合でも、4桁のパスコードを入れるだけで認証できてしまいます。「これって安全なの？」と疑ってしまう人もいると思いますが、実は簡単な操作の裏では、強固な暗号技術が働いており、安全性は非常に高くなっています。

パスキーを登録すると、スマホやPCなどのデバイスは「秘密鍵」と「公開鍵」の2つを作ります。秘密鍵は端末内に安全に保管され、公開鍵のみがサービス側に送られます。

サービスへのログイン時は、生体認証で秘密鍵の利用を許可し、生成した署名データをサービスへ送信。サービス側は登録済みの公開鍵と情報が合っているか照合し、一致すればログインが完了します。

パスワードとの大きな違いは、個人情報がスマホやPCに保管されていること。サービス側に送られることがないため、パスワードのように漏えいする心配はありません。

また、偽サイトでは鍵情報が一致しないため、ログインできず、フィッシング詐欺の防止にもなります。つまり、パスキーは「自分のデバイス＋生体認証＋暗号技術」で第三者の不正利用を防ぐ仕組みなのです。

パスキーを登録したい！ どうすればいいの？

「安全そうだから使いたい！」と思ったら、まず利用中のサービスが対応しているか確認しましょう。Google、Apple、Microsoft、Amazon、メルカリ、楽天、大手銀行などがすでに対応しています。

ここではメルカリを例に、パスキー登録とログインの流れを紹介します。

パスキーの登録手順（スマホ、アプリの場合）

3：パスキーを追加するかどうかの確認画面が表示され、顔認証か指紋認証を求められます。生体認証で確認し、登録完了です（この部分は安全への配慮でスクリーンショットが撮れないため、画面の指示にしたがってください）。

パスキーを使ったログイン手順（パソコン、ブラウザの場合）

スマホのパスキーを選択すると、QRコードが表示されます。スマホのカメラでQRコードを読み取ると、スマホ側の秘密鍵とサービス側の公開鍵が認証を行い、PCでも安全にログインできます。

パスキーなら文字入力なしでサッとログインできるのが魅力です。手軽で安全な認証方法なので、よければ登録してみてください。

パスワードは削除すべき？

本来は、パスキーの登録後にパスワードを削除しておくとより安心なのですが、パスワードの削除にまだ対応していないサービスも多いのが現状です。

パスキーが使えない場合にパスワードを利用するケースもありますので、当面はそのままにしておくとよいでしょう。この機会に、パスワードは他人に推測されにくいパスワードに変更しておくと安心です。

鈴木 朋子プロフィール

ITライター・スマホ安全アドバイザー。スマホ、SNS、Webサービスなど、身近なITに関する記事を執筆している。初心者がつまずきやすいポイントをやさしく解説することに定評がある。中高生のスマホ事情にも詳しく、二人の娘を持つ母親でもある。
(文:鈴木 朋子（iPhone・SNSガイド）)