パスキーの紹介: パスキーが重要な理由と使用方法
サイバーセキュリティの世界では、Apple のパスキーに関するニュースが話題になっている。パスワードレス化を簡単に実現できる方法は、たとえ現時点では特定のデバイスに限定されているとしても、歓迎すべき変化です。Google が最近 Chrome と Android でパスキーをサポートすると発表したため、ユーザーはベータ版に参加して新機能をテストできるようになりました。さらに最近では、PayPal は iOS 16、iPadOS 16.1、または macOS Ventura を搭載した Apple デバイスでのパスキーのサポートを発表しました。
こうした活動を見ると、パスキーとは何なのか、そしてなぜ重要なのか、と疑問に思うのは当然です。さらに重要なのは、それらがあなたのビジネスにとって何を意味するかということです。この記事では、パスキーがどのように機能し、それがどのように影響し、ビジネスにとってパスキーについて適切な決定を下すことができるかについて説明します。
パスキーとは何ですか? また、なぜ重要なのですか?
パスキーは、FIDO (Fast Identity Online) 認証情報の拡張バージョンです。これらは、単一のエコシステム内で複数のデバイスを使用するための FIDO の利点を合理化し、パッケージ化します。ただし、異なるエコシステム間でパスキーを使用することはできません。また、パスキーを使用しないデバイスやオペレーティング システムに信頼を拡張することもできません。
簡単に言えば、パスキーは既存のプロトコルと Web 標準 (FIDO と WebAuthn) を使用してパスワードを排除します。パスワードの代わりに、顔認識 (FaceID など) や指紋スキャン (TouchID など) などのデバイス上の認証で FIDO 資格情報が呼び出されます。FIDO はしばらく前から存在しており、パスキーにより、適切なオペレーティング システムをすでに使用しているユーザー (現時点では iOS 16 デバイスのみ) はアクセスしやすくなります。
パスキーを使用するユーザー フローは比較的シンプルです。
- ユーザーは今後のログインに使用するユーザー名を入力します
- デバイス上または別のデバイスのQRコードを介して、生体認証ジェスチャーのプロンプトが表示されます。
- 認証情報である公開鍵と秘密鍵のペアがデバイスに登録されます
- 次回のログインでは、ユーザーはユーザー名を入力し、生体認証チャレンジに答えるためのプロンプト（デバイス上またはQRコード経由）を受け取ります。
パスワードが廃止されつつあるため、パスキーが存在します。パスワードには、使い勝手の悪さ、セキュリティの信頼性の低さ、維持費の高騰など、さまざまな問題があることは、セキュリティの専門家でなくてもわかります。2 要素認証 (2FA) のような中途半端な対策では、パスワードをある程度強化できますが、今日の企業は、顧客が採用する、手間のかからない代替手段を求めています。
パスワードのない未来に向けて取り組むセキュリティおよびテクノロジー企業の業界団体である FIDO アライアンスに参加しましょう。FIDO アライアンスは、Google、Microsoft、Apple、Transmit Security などのメンバーで構成されており、パスワードレスのセキュリティ、オープン性、使いやすさを実現するための共同の取り組みを表しています。彼らはほぼ 10 年にわたってパスワードレス アーキテクチャを公開しており、最新の定式化である FIDO2 は、今日のパスワードレス ソリューションの主力プロトコルとなっています。
Web 認証 API (WebAuthn としてよく知られています) は、FIDO2 のコア コンポーネントです。WebAuthn は、Web サービスが生体認証、モバイル デバイス、FIDO セキュリティ キーを使用して簡単な暗号化ベースのログインを提供できるようにする公式の Web 標準です。ただし、FIDO 認証情報はデバイス間で同期されないため、ユーザーは再登録せずに新しいデバイスにログインすることはできません。WebAuthn は FIDO 資格情報を利用するプロトコルであるため、デバイスで利用可能な資格情報に制限されます。
この非常に特殊な制限に対処するために、FIDO アライアンスは Google、Microsoft、Apple と共同でパスキーを発表しました。これら 3 社はいずれもパスキーをサポートする意向を発表しました。しかし、パスキーのブランド化を主導してきたのはAppleであり、同社は2022年のApple Worldwide Developers Conferenceでこの技術を発表しました。
パスキーを使用する利点は何ですか?
簡単に言えば、パスキーを使用すると、複数のデバイス間で FIDO 認証情報を共有できるため、紛失したデバイスや新しいデバイスに関連する問題を解決できます。FIDO 認証情報の最初のバージョンでは、ユーザーは 1 つのデバイスに制限されていましたが、パスキーではその問題はありません。パスキーはクラウド経由でデバイス間で同期されます。
FIDO 認証情報の拡張機能として、パスキーはバックエンドで同じように機能し、同じプロトコルで動作します。パスキーは、マルチデバイス サポート (マルチデバイス FIDO 認証情報とも呼ばれます) を有効にすることで、FIDO シングルデバイス認証情報を拡張します。
パスキーを有効にするユーザーは、一度登録して公開キーと秘密キーのペアを生成します。公開鍵は Web サーバーに保存されます。秘密鍵はデバイスに保存されます。ユーザーの生体認証により、秘密鍵が認証チャレンジに署名してログインできるようになります。
一般的な FIDO シナリオでは、秘密鍵が Web 経由で送信されることはありませんが、パスキーはクラウド経由で複数のデバイス間で共有できます。Bluetooth 認証を使用して近くのデバイスからパスキーを共有することもできます。
ただし、パスキーには、FIDO プラットフォームをサポートしていないデジタル チャネルのサポートは含まれません。FIDO 非対応のデスクトップ PC、店内環境、キオスク、コール センターなどの非デジタル チャネルには拡張できません。さらに、クラウド ストレージを利用してパスキーを転送する方法のため、銀行や金融機関などの組織のセキュリティ要件を満たさない可能性があります。
Transmit Security はパスキーで動作しますか?
はい！Transmit Security は FIDO Alliance Board のメンバーであり、サポートする多くの認証プロトコルの 1 つとして FIDO 標準を採用しています。パスキーは製品やサービスではないことに留意してください。これらは FIDO 認証情報の拡張バージョンです。
当社のCIAMプラットフォームは、FIDO 標準を包括するエンタープライズ グレードのラッパーと考えてください。当社のプラットフォームは柔軟性が高く、パスキーの有無にかかわらず強力な検証を提供でき、FIDO デバイスと非 FIDO デバイスの両方をサポートします。ユーザーが使用しているデバイス、プラットフォーム、エコシステムに関係なく、パスワードレス認証の使いやすさを活用できます。
Transmit Security のパスワードレス認証 API と SDK は FIDO プロトコルを利用します。つまり、パスキー対応デバイスから Web サービスやアプリケーションに認証するユーザーは、パスキーが提供するすべての機能を活用できます。現在、パスキー デバイスのサポートは iOS 16 デバイスに限定されており、次期リリースの macOS Ventura でもサポートされる予定です。Google が Chrome と Android にパスキーを導入した後でも、パスキーをサポートするデバイスを持たない消費者は依然として多くいます。
パスキーのみの認証に移行すると、消費者ベースが大幅に制限されるため、顧客向けのログインには推奨されません。変更に抵抗があり、パスキーと生体認証をオプトアウトしたユーザーについて考えてみましょう。マジックリンク認証や SMS OTP など、ユーザーが好む方法でパスワードレス認証をサポートできる柔軟性が不可欠です。これらはすべて、パスワードよりも強力なパスワードレス方式です。
パスキーを超えることの利点
Transmit Security のプラットフォーム サービスは、独自のクロスデバイス機能と、パスキーを使用しないオペレーティング システムへの信頼拡張により、パスキーを補完します。当社のサービスでは近接チェックが不要なため、新しいデバイスにプロアクティブな信頼拡張を提供し、マルチデバイス パスキーよりも柔軟性が高まります。
追加のセキュリティ レイヤーとして、キーが特定のデバイスで生成されたか、パスキーを使用してエコシステム経由で共有されたかを判断することもできます。これにより、組織はユーザーのパスワードレス認証情報をどのように実装し、信頼するかを選択できます。
認証は、常に変化する顧客 ID を管理するための要件の 1 つにすぎません。当社のスケーラブルなソリューションは、ユーザー ライフサイクル全体にわたって、安全で信頼性の高いエンドツーエンドのデジタル ID ジャーニーを構築します。登録から購入まで、その間のあらゆるプロセスをカバーします。当社は、セッションの管理、リスクの評価、規制の遵守、ログの分析、ロールベースのアクセスの構成などを行うツールにより、認証を超えたビジネスをサポートします。
今すぐ Transmit Security CIAM プラットフォームを活用して、企業が FIDO 標準を活用する方法について詳しくご覧ください。
