「顔認証や短い暗証番号だけでログインして、本当に大丈夫？」
パスキーの作成を勧められても、パスワードを入力しないことに不安を感じるかもしれません。
パスキーは、スマホやパソコンなどに保存した暗号の鍵を使うログイン情報です。 顔認証・指紋認証・PINなどで使用を許可すると、端末が鍵を使って本人であることを証明します。
安全性の理由は、顔や指紋を使うことだけではありません。ログイン先に秘密鍵を渡さずに認証でき、ブラウザーなどが「そのサイトで使ってよい鍵か」も確かめます。パスワードや確認コードを偽サイトに入力してしまう危険を、仕組みで減らせる点が大きな違いです。
この記事では、「合言葉」と「デジタル印鑑」のたとえで仕組みをつかんでから、安全な理由と、スマホの紛失に備える方法を見ていきます。
パスキーとは？パスワード・顔認証との違い
パスワードは、サイトへ入力して本人確認に使う文字列です。自分で考えるほか、パスワード管理アプリで生成・保存し、自動入力する方法もあります。
パスキーでは、対応する端末や管理サービスが作った暗号の鍵を使います。利用者がサイトごとに文字列を考えたり、その文字列を入力したりする必要はありません。
顔・指紋・PINは「鍵を使う許可」
パスキーでログインするとき、顔認証や指紋認証、PINなどを求められます。PINは暗証番号のことで、端末のロック解除などに使います。iPhoneの画面ロックでは「パスコード」と呼ばれます。
これらは、保存したパスキーを使ってよいか、手元で確認するための手段です。顔や指紋そのものがパスキーになるわけではありません。FIDO Allianceは、パスキーの認証に使う生体情報は端末内で扱われ、ログイン先には送られないと説明しています。
生体認証センサーがなくても、対応する環境ではPINなどで使えます。「指紋認証ができるスマホを買わないと使えない」というものではありません。
保存先はスマホ本体だけではない
パスキーは、AppleのiCloudキーチェーンやGoogleパスワードマネージャーなどの管理機能、1Passwordなどの対応するパスワード管理アプリ、Windows Helloのローカル保存、専用機器のセキュリティキーなどに保存できます。
保存先によって、複数の端末で使えるか、機種変更時にどう引き継ぐかが変わります。まずは「作成画面で保存先を選ぶことがある」と覚えておきましょう。
パスキーの仕組み｜登録とログインで何が起こる？
まずは、お店に入る場面にたとえてみましょう。パスワードとパスキーの違いは、「合言葉を伝えるか、手元の道具で証明を作るか」と考えるとイメージしやすくなります。
パスワードは「合言葉」、パスキーは「デジタル印鑑」
パスワードは、お店に伝える合言葉です。
お店に「合言葉は○○です」と伝えて入ります。その合言葉を他人に知られたり、偽のお店でうっかり伝えてしまったりすると、他人にも使われてしまいます。
一方、パスキーは、スマホやパソコンにしまっておく「そのお店専用のデジタル印鑑」にたとえられます。
登録するとき、お店には印鑑そのものではなく、「その印鑑で作った証明が本物か確かめる道具」を預けます。この道具だけでは、あなたの代わりに印を押すことはできません。
入店のたびに、お店から新しい「今回の入店確認書」が届きます。あなたが顔認証やPINで使用を許可すると、スマホがその確認書専用の印を作って返します。お店は、預かっている道具で確かめて入店を認めます。印鑑そのものをお店に渡す必要はありません。
普通の印鑑と違うのは、確認書の内容に応じて証明が変わることです。押した印だけを切り取って別の確認書に貼っても使えず、以前の確認書をそのまま出し直しても通りません。
実際には、印の模様を見比べているのではなく、暗号技術を使って確かめています。たとえと本当の仕組みを対応させると、次のようになります。
- デジタル印鑑＝秘密鍵：ログインの証明を作るための鍵。
- お店の確認用の道具＝公開鍵：届いた証明を確かめるための鍵。
- 確認書専用に作った印＝電子署名：秘密鍵を使って作る、そのログインのための証明。
つまり、パスキーは「秘密を相手に教える代わりに、自分の端末が、そのときのログイン専用の証明を作る」仕組みです。このイメージを持ったまま、実際の登録とログインを見てみましょう。
登録するとき：確認用の公開鍵をサービスへ渡す
パスキーを作成すると、そのサービスのアカウント用に秘密鍵と公開鍵の組が作られます。
秘密鍵は、選んだ端末や管理サービスで保護されます。ログイン先には、確認用の公開鍵を登録します。公開鍵だけから秘密鍵を割り出すことは、現実的な計算では困難になるよう設計されています。
このとき、パスキーには「どのサービスの、誰のアカウント用か」という情報も結び付きます。サービスの識別にはドメイン（インターネット上の住所）に基づく情報を使います。これが、後で説明する偽サイト対策にもつながります。
ログインするとき：毎回違う確認データに署名して返す
登録が済んだ後は、次の流れでログインします。たとえ話の「今回の入店確認書」に当たるのが、サービスから届く確認データです。
- サービスが、そのログインのための確認データを送ります。
- 利用者が顔認証・指紋認証・PINなどで鍵の使用を許可します。
- 端末などが秘密鍵で電子署名を作り、サービスへ返します。
- サービスが、登録済みの公開鍵で署名を確かめ、確認データや利用先などにも問題がなければログインを認めます。
ログイン先に送るのは、秘密鍵そのものではなく、署名などの確認に必要なデータです。署名には、そのときの確認データや、どのサイトで認証しようとしたかという情報が結び付いています。そのため、以前の返事をコピーしても、次のログインには使えません。
パスキーはなぜ安全？3つのメリット
文字列を覚えて入力する手間が減ることも、パスキーの利点です。では、安全性は何が違うのでしょうか。合言葉とデジタル印鑑の違いを、実際に起こり得る被害に当てはめてみます。
1．パスワードの使い回しによる連鎖的な被害を防ぐ
複数のサイトで同じパスワードを使っていると、1か所から漏れたパスワードを別のサイトでも試されます。
パスキーは、サービスのアカウントごとに作られた鍵を使います。パスワードのように同じ文字列を使い回さないため、「別のサイトで漏れたパスワードで入られる」という被害を防げます。
2．サービスから公開鍵が漏れても、それだけではログインできない
パスワードに関する情報がサービスから漏れると、保存方法やパスワードの強さによっては、元の文字列を解析されるおそれがあります。
パスキーでは、サービスが認証用に持つのは公開鍵です。公開鍵だけを盗んでも、ログインに必要な署名は作れません。 署名を作る秘密鍵を、ログイン先へ預けていないためです。
ただし、住所や購入履歴など、サービスが保管する別の情報の流出まで防げるわけではありません。ここで防いでいるのは、盗まれた公開鍵を使ったなりすましです。
3．偽サイトでは使えないよう、ブラウザーなどが確かめる
パスワードは、本物そっくりの偽サイトにも入力できてしまいます。SMSや認証アプリの確認コードも同じです。
たとえば、偽サイトにパスワードと確認コードを入力すると、攻撃者がそれをすぐ本物のサイトへ転送し、利用者になりすましてログインすることがあります。これがリアルタイムの中継を使うフィッシングです。コードが一度しか使えなくても、その有効な間に使われると防げません。
パスキーの場合は、ブラウザーや端末が、いま開いているサイトでそのパスキーを使ってよいかを確かめます。 判断には、登録時に結び付けたサービスの情報と、サイトのドメインが使われます。見た目を似せただけの別の偽サイトでは、本物のサービス用のパスキーを使えません。
たとえ話でいえば、デジタル印鑑には使えるお店が決まっており、ブラウザーなどがそのお店かどうかを確かめてから使います。利用者が画面の見た目だけで偽物を見破る仕組みではありません。
さらに、ログイン先のサービスも署名とともに届くサイトの情報を検証します。W3CのWebAuthn標準は、こうした利用先の確認手順を定めています。アプリでも、たとえばAndroidでは、サイトとアプリの関連付けを確認してパスキーを利用する仕組みがあります。
なお、偽サイトが「パスキーが使えないので、パスワードを入力してください」と誘導することは考えられます。不審な画面では入力せず、ブックマークや公式アプリから開き直しましょう。
パスワード・確認コードとの違いを比較
次の表は、場面ごとの違いをまとめたものです。端末の管理や復旧方法まで含めた、総合的な安全性の順位ではありません。
| 場面 | パスワードのみ | パスワード＋確認コード | パスキー |
|---|---|---|---|
| ログイン時の操作 | パスワードを入力・自動入力 | パスワードに加え、SMSや認証アプリのコードを入力 | 顔・指紋・PINなどで使用を許可 |
| 同じパスワードを他サイトでも使っていたら | 漏えいしたパスワードを使われるおそれ | パスワードだけでは通常ログインできない | サービスごとの鍵を使い、文字列を使い回さない |
| 偽サイトに誘導されたら | 入力すると盗まれ得る | コードも即座に中継されると悪用され得る | 許可されていないサイトでは本物のパスキーを使えない |
| サービスの認証情報が漏れたら | 保存方法や強さによって解析されるおそれ | パスワード以外にコードなどの確認も必要 | 公開鍵だけではログインできない |
| スマホをなくしたら | パスワードが使えれば、別の信頼できる端末から入れる | コードの受け取り手段や復旧が必要になる場合がある | 保存先・予備の鍵・復旧手段によって対応が変わる |
確認コードを追加する認証は、パスワードだけより守りを増やします。ここでの違いは、人が入力するコードは偽サイトへ渡せてしまうのに対し、パスキーでは利用先も仕組みで確認することです。
パスキーでも防げないこと
パスキーを使っていても、他人が端末のロックを解除できる状態や、不正なソフトが動いている状態は危険です。
ログイン済みの状態を保つ情報が盗まれると、パスキーでのログイン操作をやり直さずに悪用される場合もあります。OSやブラウザーの更新、画面ロック、不審なアプリを入れないといった基本の対策は引き続き必要です。
パスワードでのログインやメール・SMSによる再設定が残っていれば、攻撃者がそちらを狙う可能性もあります。パスキーを追加するだけで、ほかの入口まで安全になるわけではありません。
パスキーのデメリットと注意点｜保存先・紛失・機種変更
パスキーの主な注意点は、対応するサービスや利用環境が必要なことと、紛失時の備えが保存先によって変わることです。対応していないサービスでは、引き続き別のログイン方法を使います。
「ログイン先」と「同期用」のアカウントを分けて考える
混乱しやすいのが、次の2つのアカウントです。
- サービスのアカウント：ログイン先。通販サイトやSNSなどのアカウントです。
- 同期用のアカウント：保存したパスキーを複数の端末で使うためのもの。Apple AccountやGoogleアカウントなどです。
たとえば、通販サイトのパスキーをiCloudキーチェーンに保存する場合、買い物をするのは通販サイトのアカウント、鍵の同期に使うのはApple Accountです。
同期型は、対応する別の端末でも使える
たとえ話の印鑑は、必ずしもスマホ1台にしかないわけではありません。同期型のパスキーは、管理サービスを通じて暗号化されて同期されます。スマホが壊れても、同期済みの別の端末などで使えることが利点です。鍵を自分の対応端末へ同期することと、ログイン先へ秘密鍵を渡すことは別です。
Appleは、iCloudキーチェーンのパスキーはエンドツーエンドで暗号化され、Apple自身も読み取れないと説明しています。
新しい端末で使う際は、同期用アカウントへのログインだけでなく、保存した鍵を解除するための確認も必要になります。たとえばGoogleパスワードマネージャーでは、管理サービス用のPINやAndroid端末の画面ロックのPINなどでパスキーを保護しています。
このため、同期用アカウントのパスワードを知られただけで、直ちにすべての秘密鍵が読み出されるわけではありません。一方、鍵の保護や復元に使うPINも大切な情報です。アカウントの認証・復旧方法とあわせて守りましょう。必要な確認や復旧条件は、保存先によって異なります。
同じ同期用アカウントで使うスマホとパソコンは、1台の故障への備えにはなります。ただし、その同期用アカウント自体に入れなくなる事態への備えとは分けて考える必要があります。
端末固定型は、その機器を失ったときの備えが必要
端末固定型は、特定の端末やセキュリティキーに保存し、ほかの端末へ同期しない方式です。Windows Helloへのローカル保存も、この例に当たります。Windowsパソコンでも、Googleパスワードマネージャーなどの同期する保存先を選ぶ方法はあります。
保存した機器を紛失・故障で使えなくなると、そのパスキーも使えなくなります。サービスが対応していれば別の保存先に予備のパスキーを登録し、復旧方法も確認しておきましょう。
iPhoneのパスキーをWindowsパソコンで使うには？
対応するサービスやブラウザーでは、Windowsパソコンに表示されたQRコードをiPhoneで読み取り、iPhone側のパスキーでログインを承認できます。
この方法では通常、Bluetoothで2台が近くにあることも確認します。秘密鍵そのものをBluetoothでパソコンへ送るわけではありません。
スマホで承認することと、パソコンへ鍵を保存・同期することは別です。 QRコードでログインしただけでは、通常、その鍵がパソコンに保存されたことにはなりません。
パソコンだけで使いたい場合は、そのサービスが追加登録に対応しているか、パソコンで利用できる保存先は何かを確認します。また、鍵を保存しない方法でも、信頼できない共用PCへのログインが安全になるわけではありません。ログイン後の情報や操作を見られる危険は残ります。
パスキーの作り方と、使う前のチェックリスト
作成画面やメニュー名はサービスごとに異なりますが、大まかな流れは次のとおりです。
- 自分の信頼できる端末から、公式サイトや公式アプリへログインします。
- セキュリティ設定などで「パスキーを作成・登録」を選びます。
- 表示された保存先と対象のアカウントを確認します。
- 顔認証・指紋認証・PINなどで作成を許可します。
- ほかのログイン方法や復旧手段が使えることを確認します。
- 一度ログアウトし、パスキーでログインできるか試します。
初めて試す段階で、今まで使えていたパスワードや鍵を先に削除する必要はありません。機種変更の場合も、新しい端末でログインできることを確認してから、古い端末を初期化・処分しましょう。
使い始める前に確認したいのは、次の4点です。
- 自分専用の端末か：他人もロックを解除できる端末では、その人にパスキーを使われるおそれがあります。
- どこに保存したか：管理サービス名と同期用アカウント、同期型か端末固定型かを確認します。
- なくしても戻れるか：予備のパスキーや、サービス・同期先の復旧方法を確認します。回復コードが提供される場合は、その案内に従って安全に保管します。
- ほかの入口も守れているか：残っているパスワードの使い回しを避け、同期用アカウントの二段階認証や復旧用連絡先も確認します。
よくある質問
短いPINで使えるのに、なぜ安全なのですか？
端末のPINは、サイトへ送るパスワードの代わりではなく、保存した鍵を使う許可に使います。サイトが確かめるのはPINではなく、鍵で作った署名です。PINを知っているだけでは、その鍵を持っていることにはなりません。
ただし、端末を盗まれてPINも知られると危険です。保存先によっては、PINやパスコードが新しい端末での鍵の復元・解除にも使われます。「短い番号だから軽く扱ってよい」と考えず、人に教えたり入力を見られたりしないようにしましょう。
パスキーを作ったら、パスワードは消してよいですか？
パスワードの役割はサービスによって違います。Googleアカウントでは、パスキーを追加しても既存のパスワードや復旧方法は削除されません。
パスワードを使わない設定にできるサービスもありますが、端末をなくした場合に戻れるかを確認してから判断しましょう。作成しただけで、すべてのパスワードが不要になるわけではありません。
作成したのに、パスワードを求められるのはなぜですか？
パスワードとパスキーを併用しているサービスでは、ログイン画面で別の方法を選ぶ必要があることがあります。また、今の端末で保存先のパスキーを使えない場合もあります。保存先・アカウント・対応環境を確認してください。
突然いつもと違う画面になった場合は、その場で入力を続けず、ブックマークや公式アプリから開き直しましょう。パスワードを求められることだけで偽サイトと決まるわけではありませんが、不審な誘導には注意が必要です。
まとめ
パスワードは、お店に伝える合言葉。パスキーは、手元のデジタル印鑑で、その場限りの証明を作る仕組みです。印鑑に当たる秘密鍵をログイン先へ渡さず、ブラウザーなどが使えるサービスかどうかも確かめます。
顔認証やPINは、その道具を使うための許可です。安全性を支えているのは、顔や指紋そのものではなく、秘密鍵・電子署名・利用先の確認を組み合わせた仕組みなのです。
使い始めるときは、「どこに保存するか」「端末をなくしてもログインできるか」を確認しましょう。保存先と復旧方法を把握し、信頼できる端末で動作を確かめることが、便利さと安全性の両方を生かす第一歩です。
＊関連記事
→ 住所は知られても、鍵は渡さない。個人情報流出が続く時代の、怖がりすぎない備え方
参考資料
- FIDO Alliance：Passkey Types https://www.passkeycentral.org/introduction-to-passkeys/passkey-types
- FIDO Alliance：Passkey Security https://www.passkeycentral.org/introduction-to-passkeys/passkey-security
- Apple Developer：パスキーの概要 https://developer.apple.com/jp/passkeys/
- Apple サポート：パスキーのセキュリティについて https://support.apple.com/ja-jp/102195
- Google for Developers：パスキー https://developers.google.com/identity/passkeys?hl=ja
- Google Chrome ヘルプ：Chromeでパスキーを管理する https://support.google.com/chrome/answer/13168025?hl=ja
- Google アカウント ヘルプ：パスワードの代わりにパスキーでログインする https://support.google.com/accounts/answer/13548313?hl=ja
- Microsoft：パスキーを作成して保存する https://support.microsoft.com/ja-jp/accounts-billing/security/create-save-passkey
- FIDO Alliance：Troubleshoot Cross-Device Sign-In and Transport https://www.passkeycentral.org/launch-and-grow/troubleshooting-guidance/cross-device-sign-in
- Android Developers：Prerequisites https://developer.android.com/identity/credential-manager/prerequisites
- W3C：Web Authentication Level 3 https://www.w3.org/TR/webauthn-3/
基礎資料確認：2026年10月29日。文章・画像配置・関連記事更新：2026年10月30日。
コメント