一回聞いただけじゃ、わからない？
アップル（Apple）がWWDC22にて大々的に発表した、従来のパスワードに変わるサインイン方法｢Passkeys（パスキー）｣。しかしその説明を聞いたとき、｢…つまり、どういうこと？｣と思ったのは私だけではないはず（そうですよね？）。
そんな若干謎のベールに包まれたパスキーですが、詳細がAppleのサポートサイトで公開されています。
パスワードのリスクや面倒臭さを解消する認証方法
パスキーを一言で表すと、アップルデバイスのFace IDやTouch IDをパスワードの代わりに使う認証方法です。
アップルのサポートドキュメントを読み解くと、このパスキーは｢WebAuthn｣という技術にもとづいています。パスキーではウェブサイトのサーバーに公開鍵を、そしてデバイス側に秘密鍵を保存。iPhoneなどの生体認証機能を持つデバイスで、Face IDやTouch IDでPasskeysを認証し、鍵を合致させてウェブサイトにログインするのです。
パスワードによる認証では、パスワードを暗号化した状態でサーバーに保存し、ユーザーがログイン時に入力した文字列と合致するかどうかを判定していました。それに比べてパスキーは認証に必要な秘密鍵が自分のデバイスにのみ保存されるため、サイト事業者からパスワードが漏洩するリスクがありません。ちなみにFace IDやTouch IDはデバイス上で完結するため、生体認証情報がインターネット上を行き交う心配はありません。そのほかにも、パスワードを覚える必要がないことや、偽サイトでパスワードの入力を促してくる｢フィッシング詐欺｣のリスクがないなどのメリットがあります。
パスキーはこういったWebAuthnのメリットをAppleエコシステムに組み込んだ機能だと言えます。パスキーはiCloudキーチェーンでユーザーのすべてのデバイスに同期され、2段階認証が設定されていないApple IDでは使用できません。もしすべてのアップルデバイスをなくしてパスキーも紛失してしまった場合でも、複数の認証プロセスを使って回復することができます。
アップルはパスキーをアップル以外のデバイスやプラットフォームでも使うことができるように取り組んでいるとのこと。今後はさらに私達の身近な技術として、活躍する場所が増えそうですね！
Source: Apple via MacRumors, Reference: NRI SECURE