パスキーはデジタルな認証資格情報（クレデンシャル）の一種だ。ユーザー認証のために、秘密鍵と公開鍵を使って平文を暗号化する「公開鍵暗号方式」を採用している。サーバ側に保存されるのは公開鍵のみで、秘密鍵はユーザーのデバイス内に保存される。秘密鍵による認証には、以下のような要素で本人を確認する。

• 生体情報
  • 指紋、顔、その他固有の生体情報
• PIN（Personal Identification Number）
  • エンドユーザーのデバイスに表示される短い数列

　パスワード入力を求める方式は、パスワードの使い回しや不適切な管理により、漏えいの危険が常に存在する。パスキーにはそうしたリスクがほとんどない。

パスキーのメリット

　パスキーは、ローカルデバイスによるユーザー認証を可能にし、従来のパスワード入力よりも高速に認証が完了する。これはスマートフォンのロックを解除する方法と同じだ。パスキーにはフィッシング攻撃やソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）攻撃による認証資格情報が漏えいする心配がほとんどない。

　パスキーのメリットをまとめると、次のようになる。

• サイバー攻撃への耐性
  • パスキーはローカルに保存された認証情報を使用する。そのためフィッシングサイトに誘導されてパスワードを盗み取られるといった、従来型のフィッシング攻撃が原理的に成立しない。
  • 認証情報がデバイスから出ないため、ブルートフォース（総当たり）攻撃やクレデンシャルスタッフィング攻撃（流出したログイン情報を使ってアプリケーションへの自動ログインを試みる攻撃）など、ネットワークベースの攻撃に対する耐性が高い。
• パスワード管理の負担軽減
  • IT部門が担う、パスワードのリセットやセキュリティポリシーの管理は負担が重い業務だ。パスキーにすることで、パスワードの管理の手間を減らして負担を軽減できる。
• UXの向上
  • パスキーは認証プロセスを効率化し、より迅速で使いやすいログインが可能になる。複雑なパスワードを記憶したり入力したりする手間が不要になるからだ。

課題とデメリット

　パスキーにはメリットが複数あるが、課題もあり、企業環境でのユーザー認証に関する万能の解決策と考えるのは現時点では時期尚早だ。以下に課題を挙げる。

デバイスへの依存と普及の度合い

　企業では、従業員が複数のデバイスやサービスを併用していることが一般的だ。そのため、複数のデバイス、サービス間でのパスキーの互換性が求められる。今のところAppleやGoogle、Microsoftがパスキーをサポートしているが、それ以外のOSやデバイスを使用している企業では、システム全体で一貫したパスキーを実装するのは困難だ。特に従業員が認証に個人用デバイスを使用する場合、実装と管理がより複雑になる可能性がある。

生体情報のプライバシーに関する懸念

　一般的にパスキーは生体認証を使用する。結果、個人の生体情報という機密データがどのように保存、使用、保護されるかについての懸念が生じる。パスキーは生体情報をデバイスにローカルに保存するというセキュアな設計ではあるが、企業は従業員の生体情報を慎重に取り扱う必要がある。特に厳格なデータプライバシー法がある国や地域では、規制要件の順守も不可欠だ。

包括的なIAMツールの未登場

　ほとんどの大企業は、従業員のリソースへのアクセスを管理するためにIAM（IDおよびアクセス管理）ツールを導入しているが、パスキーは比較的新しい技術で、パスキーを管理できないIAMツールもある。使用中のIAMツールがレガシーアプリケーションと統合されているケースもある。これらを考慮すると、既存のインフラやアプリケーションにスムーズにパスキーを導入するのは簡単ではない。

　結論として、パスキーにはさまざまなメリットがあるが、大規模な導入に当たっては慎重な検討が必要だ。