パスキーとは？PIN・指紋・顔認証との違いと保存先を解説
Section titled “パスキーとは？PIN・指紋・顔認証との違いと保存先を解説”パスキーは、パスワードの代わりに サービスごとのデジタルな鍵でログインする仕組み です。対応するWebサイトやアプリで一度登録すると、次回からは端末のPIN・指紋・顔認証などで、その鍵を使ってログインできます。
例えば、通販サイトへのログインで、パスワードを入力する代わりにスマートフォンの顔認証を使います。このとき、通販サイトに顔の画像を送っているわけではありません。顔認証は、スマートフォンに保存された鍵を使ってよいか確認するためのものです。
まずは、次の3つを分けて考えると理解しやすくなります。
| 要素 | 役割 | 例 |
|---|---|---|
| パスキー | サービスにログインするための鍵 | 通販サイト用のパスキー |
| PIN・指紋・顔認証 | 手元で鍵の使用を許可するための本人確認 | スマートフォンの画面ロック解除、Windows Hello |
| 保存先 | 鍵を保管・管理する場所 | 端末、セキュリティキー、パスワードマネージャー |
パスワードと何が違うのか
Section titled “パスワードと何が違うのか”パスワードでは、利用者が入力した秘密の文字列をサービス側が検証します。偽サイトに入力してしまうと、攻撃者もその文字列を使って本物のサイトへのログインを試せます。
パスキーでは、秘密の文字列を入力する代わりに、秘密鍵を持っていることを暗号技術で証明 します。ログイン先のサービスに秘密鍵そのものを渡す必要はありません。
| 比較項目 | パスワード | パスキー |
|---|---|---|
| ログインに使うもの | 覚えたり、管理ツールから入力したりする文字列 | サービスごとに作成した暗号鍵 |
| サービス側の検証 | 送られたパスワードを、保存したハッシュ値などで検証 | 送られた署名を、登録済みの公開鍵で検証 |
| 利用者が覚えること | パスワード。管理ツールに任せることもできる | パスキー自体は覚えない。端末や管理ツールのロック解除は必要 |
| 偽サイトへの強さ | 入力した文字列を盗まれるおそれがある | 正規のログイン先に結び付いており、別の偽ドメインでは使えない |
| 使い回し | 同じ文字列を複数のサービスに設定できてしまう | サービスごとに別の鍵を作成する |
パスキーはFIDOの標準に基づく認証情報で、Webブラウザーでは主にWebAuthnという仕組みを使います。特定のメーカーだけの独自機能ではありません。FIDO Allianceの解説で、基本的な特徴を確認できます。
ログインの仕組み
Section titled “ログインの仕組み”パスキーでは、対になる 公開鍵と秘密鍵 を使います。
- 公開鍵：ログイン先のサービスに登録する鍵。証明が正しいか確認するために使う。
- 秘密鍵：利用者側の端末やパスワードマネージャーなどで管理する鍵。証明を作るために使う。
登録時にこの鍵の組を作成し、サービス側には公開鍵を渡します。ログイン時の流れは次のとおりです。
- サービスが、そのログインのためのランダムなデータ（チャレンジ）を送る。
- 利用者がPIN・指紋・顔認証などで、鍵を使うことを許可する。
- 利用者側で秘密鍵を使い、チャレンジなどに対する電子署名を作る。
- サービスが公開鍵で署名を検証し、ログインを許可する。
電子署名は、鍵を見せる代わりに提示する「この鍵を持っていることの証明」と考えるとよいでしょう。毎回のチャレンジを確認するため、過去の応答をそのまま再送してもログインできません。
さらに、ブラウザーやサービスはログイン先のドメインなども確認します。見た目がそっくりでも、別のドメインの偽サイトでは本物のサイト用のパスキーを使えません。この仕組みがフィッシングへの強さにつながります。MDNのWebAuthn解説に詳しい説明があります。
PIN・指紋・顔認証はパスキーそのものではない
Section titled “PIN・指紋・顔認証はパスキーそのものではない”パスキーは鍵であり、PIN・指紋・顔認証はその鍵を使うための本人確認です。
| 本人確認の方法 | 何を確認するか | ログイン先に送るもの |
|---|---|---|
| PIN | 端末や認証器などに設定した番号・文字列を知っているか | PINそのものではなく、パスキーで作った署名など |
| 指紋認証 | 登録した指紋と一致するか | 指紋データそのものではなく、署名など |
| 顔認証 | 登録した顔と一致するか | 顔データそのものではなく、署名など |
つまり、「指紋をWebサイトのパスワードにする」という仕組みではありません。生体認証が使えない場合に、端末のPINなどへ切り替えられることもあります。利用できる方法は端末や保存先によって異なります。
端末のPINは、Webサイトに送って照合するパスワードとは役割が異なり、通常は端末や認証器側で試行回数などが制限されます。ただし、端末を盗まれ、PINも知られれば悪用されるおそれがあるため、他人に教えてよいわけではありません。
また、Windows Helloの画面が出たからといって、鍵がWindows内だけに保存されているとは限りません。 Windows Helloがパスワードマネージャーのロック解除に使われる場合もあります。「何で本人確認するか」と「どこに鍵を保存したか」は別の話です。
パスキーのよいところ
Section titled “パスキーのよいところ”- フィッシングに強い：偽サイトにパスワードや確認コードを入力させる手口に対し、ログイン先との結び付きが防御になる。
- パスワードを覚えて入力する負担が減る：普段使う端末のPINや生体認証などでログインできる。
- 使い回しによる被害を防ぎやすい：あるサービス用の鍵を別サービスへのログインには使えない。
- サービス側にログイン用の秘密鍵を預けない：公開鍵が流出しただけでは、その公開鍵から署名を作って本人になりすますことはできない。
ただし、パスキーが守るのは主にログイン時の認証です。端末のマルウェア感染、ログイン済みセッションの盗難、サービス側の不具合など、あらゆる被害を防げるわけではありません。
パスキーはどこに保存されるのか
Section titled “パスキーはどこに保存されるのか”パスキーを作成するときは、どのサービス用かに加えて、どこに保存するか を意識する必要があります。保存方式は、大きくデバイス固定型と同期型に分かれます。
デバイス固定型（device-bound passkeys）
Section titled “デバイス固定型（device-bound passkeys）”秘密鍵を特定の端末や認証器に保持し、ほかの端末へ同期・コピーしない方式です。
| 保存先の例 | 鍵の所在 | 理解しておきたいこと |
|---|---|---|
| Windows Helloに直接保存 | そのWindows PC内 | 別のPCには自動で同期されない。PCの紛失やOSの再インストールに備えて別のログイン手段が必要 |
| FIDO2対応のYubiKeyなど | 物理的なセキュリティキー内 | 対応するPCやスマートフォンにつないで利用できるが、秘密鍵はキー内に残る |
「デバイス固定」とは、秘密鍵がその機器から出ない という意味です。YubiKeyを別のPCにつないで使うことは、鍵を別のPCへコピーすることとは異なります。予備のキーを使いたい場合は、通常、そのキーもサービスへ別途登録します。YubicoのFAQも参照してください。
同期型（synced passkeys）
Section titled “同期型（synced passkeys）”パスキーを暗号化して同期し、複数の端末から利用できるようにする方式です。端末の買い替え時にも使いやすい一方、同期用アカウントや保管庫の保護・復旧方法が重要になります。
| 保存先の例 | 同期の基盤 | 理解しておきたいこと |
|---|---|---|
| Microsoft Password Manager | Microsoftアカウント | 対応するEdge・Windows環境で同期。Windows Helloへの直接保存とは別 |
| Google Password Manager | Googleアカウント | 対応するChrome・Androidなどで利用。新しい端末では管理用PINなどが必要になる場合がある |
| Appleの「パスワード」（Apple Passwords） | Apple AccountとiCloudキーチェーン | iCloudキーチェーンを通じて対応端末間で同期 |
| 1Password | 1Passwordのアカウント・保管庫 | ブラウザー拡張機能などから保存・利用 |
| Bitwarden | Bitwardenの保管庫 | 対応するブラウザー拡張機能・モバイルアプリなどから保存・利用 |
| LastPass | LastPassの保管庫 | 対応するブラウザー拡張機能・モバイルアプリなどから保存・利用 |
対応OS・ブラウザー・プランなどの条件は製品ごとに異なります。同じアカウントにログインすれば、すべての端末やブラウザーで必ず使えるという意味ではありません。各社の公式情報を確認してください。
Microsoftの保存先の違いは公式サポート、Googleの同期とPINはChromeヘルプ、Appleの同期はiCloudキーチェーンの説明に掲載されています。1Password、Bitwarden、LastPassもパスキーの保存・利用を案内しています。
KeePassXCは自分でデータベースを管理する
Section titled “KeePassXCは自分でデータベースを管理する”KeePassXCにもパスキーを保存できますが、製品のアカウントで自動的にクラウド同期するサービスではありません。パスキーは暗号化されたデータベースファイルに保存され、ファイルの同期・バックアップは利用者が管理します。
ブラウザーで使うには、KeePassXC-Browser拡張機能とデータベースを接続し、パスキー機能を有効にする必要があります。公式ユーザーガイドで説明されています。
ファイルを複製・同期できるため、YubiKeyのように秘密鍵を外へ取り出せないデバイス固定型とは性質が異なります。ただし、ほかのKeePass互換アプリも同じパスキーに対応しているとは限りません。
理解しておきたい注意点
Section titled “理解しておきたい注意点”弱いログイン方法が残れば、そこから入られる
Section titled “弱いログイン方法が残れば、そこから入られる”例えば、正面の入口をパスキーで守っても、別の入口から弱いパスワードだけでログインできれば、攻撃者はそちらを狙えます。パスキーの登録だけで、アカウント全体がフィッシングに強くなるわけではありません。
パスワードによる代替ログイン、SMSやメールによる復旧、問い合わせ窓口の本人確認なども、アカウントを守る経路の一部です。サービスが対応していれば弱い経路を無効化し、残す必要がある場合は固有で長いパスワードや多要素認証などで補強します。
一方で、復旧手段を確保せずに代替手段をすべて削除すると、自分もログインできなくなるおそれがあります。別のパスキーや安全に保管した復旧コードなどを用意し、使えることを確かめてから整理します。
ブラウザーから保存先を呼び出せる必要がある
Section titled “ブラウザーから保存先を呼び出せる必要がある”パスキーが存在していても、使っているブラウザーやOSからその保存先にアクセスできなければ、ログイン候補に出てきません。
例えば、Bitwardenに保存したパスキーが、Windows Helloの保存一覧に自動で現れるわけではありません。通常は対応する拡張機能やOSのパスキープロバイダー設定を通じて呼び出します。保存先によっては、ブラウザーへのサインイン、同期、拡張機能の有効化、保管庫のロック解除などが必要です。
複数の管理ツールを使う場合は、登録画面に表示された保存先も確認します。パスキーはブラウザーに見えているからそこに保存されている、とは限りません。
端末の紛失と保存先の変更に備える
Section titled “端末の紛失と保存先の変更に備える”端末内だけに保存したパスキーは、その端末を失うと使えなくなります。同期型でも、同期用アカウントや保管庫を復旧できなければ利用できなくなる場合があります。すべての復旧手段を、復旧したい同じ保管庫の中だけに置かないことも大切です。
また、保存先を変更するとき、パスワードのように文字列をコピーすれば済むとは限りません。移行機能の対応を確認し、移せない場合は、ログインできるうちに新しい保存先へ別のパスキーを登録します。
保存先への依存と、パスキーの仕組みを分けて考える
Section titled “保存先への依存と、パスキーの仕組みを分けて考える”パスキーは共通規格ですが、同期・復旧・移行の使い勝手は保存先によって異なります。長く使うなら、手持ちの端末で利用できるか、保存先を変更できるかも理解しておくとよいでしょう。
一方、特定のOSやメーカーへの依存は、すべてのパスキーに必須の性質ではありません。セキュリティキーや第三者のパスワードマネージャーも選択肢です。ただし、組織のサービスでは、認証器の種類などを証明するアテステーションを使って、登録可能な認証器を制限する場合があります。
参考記事のGIGAZINEによる議論の紹介は、囲い込みへの懸念と反論を取り上げています。「パスキーの認証方式」と「提供元やサービスの運用方針」を分けて読むと、論点を整理できます。
パスキーを理解する出発点は、サービスごとの鍵を、どこかに保存し、PINや生体認証などで使用を許可してログインする という関係です。この関係が分かれば、便利さだけでなく、保存先や復旧方法を選ぶ意味も見えてきます。
- パスキーとは？（日本語）：基本的な仕組みと使い方の解説。
- FIDO Alliance: Passkeys：標準化団体による説明。
- MDN: Web Authentication API：公開鍵による認証の技術的な説明。
製品の機能・対応環境に関する記述は、2026年10月25日時点で確認した情報に基づきます。