パスキー認証のメリット・デメリット|Ordinary Life -保護猫モモとの暮らし、ライフハックなど-

何かのサービスにログインする時に当たり前のように使っていた「ユーザー名」や「メールアドレス」＋「パスワード」による認証。

これだと「ユーザー名またはメールアドレスのいずれか」と「パスワード」の２つがヒットしてしまえば別の人がログインできてしまう、そもそも多くのサービスではユーザー名が公開のユーザープロフィールのURLの一部にあからさまに表示されてしまっていたり、ユーザー同士のメールのやり取りでメールアドレスが判明してしまったりするから、実質はパスワードのみがセキュリティの砦だった。

これではいけないと登場したのが、２段階認証や２要素認証。前者は通常のログイン後に秘密の質問などの画面に遷移して正解するとログインされる（ログイン時に段階を踏むようになっている）仕組み、後者は通常のログイン作業で一旦仮ログインの状態になり、登録されているメールアドレスに送られてくるメールのリンクをクリックするなどして仮の状態を解除して正規ログインする方式。

また、前者はその場で認証できるものの、ユーザー登録時に設定した秘密の質問も、その答えも忘れてしまってどうにもならなくなるというケースが多く、後者はいちいちメールを確認するなどの手間があることから全サービスに強制導入されるケースは少なく、任意の枠を越えなかった。

そこで登場したのが、パスキー認証。ログイン用に登録した以下のような要素を使って、ユーザー名もパスワードを使わず、その人固有の要素である指紋や顔などを使ってログインしたり、PINと呼ばれるサービスを使い、例えばMicrosoft Windowsの場合は、「そのパソコンでそのユーザーがログインするためのパスワード」を元に鍵を作り、その鍵を各種サービスへ登録しておく（認証できるように許可しておく）ことで、そのパソコンにそのユーザーがログインした状態でそのサービスの会員専用ページを開く場合にはユーザー名やパスワードを入力することなく、また、届いたメールの本文などのリンクをクリックすることもなく、自動で安全が確認されてログイン状態になる仕組み。スマホではSIMカードの情報と生体情報などを使った鍵を使って同様の認証を行う仕組み。

重複してしまうが、これだとその機器でその人がそのページを開こうとした場合のみ会員専用ページが開けるようになるので、PINでの認証を行ってパソコンへログインできない人や、そのスマホの操作ができない人（スマホにロックをかけていてそれを解除できない人）から不正にログインされることがないので、現状では一番安全な認証方式と言われている。

このように、パスキー認証は一見便利で安全に見えるメリットばかりの認証方式であるが、実はデメリットもある。

それは、認証を行う機械が壊れた突然壊れた場合や、買い替えを行った場合。何度も書くがパスキー認証は「その機器で」というのが鍵の要素に含まれるため、前述のような場合、特に前者のように突然そのデバイス（機器）が壊れた場合には途方に暮れてしまうこともあるかも知れない。

もちろん他の機器からアクセスできるようにする方法も公開されてはいるのだが、サービス提供者側がおいそれとそれを許可してしまえば元の木阿弥、途端にセキュリティとしての機能ではなくなってしまうので、簡単な順では、

登録しているメールアドレスに仮のログインURLや仮パスワードがあり、そこからログインして再認証する
登録している電話番号での認証を行い、ログインして再登録する
登録している住所へ郵送される文書の内容に書かれている方法で再認証を行い、ログインして再登録する

といった方法があるようだが、簡単にすればするほどセキュリティレベルは下がることが考えられるし、厳密にすれば手間や日数がかかることになるから、即座に再び使えるようにはならない。

そして、パスキーの登録や変更の方法やトラブル発生時の復旧方法は、サービスによってさまざまなので、半ば強制的にパスキー認証への変更を余儀なくされて利用する場合には、いざという時に忘れてしまっていることのないよう、普段から変更やトラブル時の対処方法などを確認しておかないと、慌てることになるだろう。

さらにパスキーには、もっと恐ろしい点がある。それは何等かの形でパソコンを乗っ取られた場合である。決して敷居は低くないが、例えば届いたメールを本物だと思って本文のリンクをクリックしたら何も開かない、もしくはよく分からないページが表示されるケース。恐らく開いた人は「何？」で閉じて終わりだと思っているかもしれないが、実はこの段階でパソコン上にバックドア（外部から悪意を持った人が操作できるようにするドア）を仕掛けられていて、そのバックドアを通じて知らない間に操作されていることもある。これはあからさまにパソコンが勝手に動く場合もあれば、何も知らずに実は．．という場合もあるから恐ろしい。

残念ながら、一般家庭にあるインターネットの接続機器では、企業システムを繋ぐ接続機器のように「この通信は許可する、この通信は拒否する」といった厳格なコントロールは行われていない。もちろんそれ様の機器を揃えて設定すればできないことはないが、口を閉じれば閉じるほど堅牢になるのと引き換えに「あれ？これができない．．」というケースも出てくるだろう。それを解決するために少しずつ口を広げているうちに不正アクセスされて情報漏洩という最近数多くニュースで報道されているケースでも、最初は堅牢だったはずが．．という場合も少なくないだろう。

とにかくインターネットを通じて何でもできる、できそうな時代。いろいろなところにつながって便利な分、実はいろいろなところから繋がれる可能性があるということも認識して、例えば重要な情報はパソコンから離して管理できるデバイス（USBメモリーなど）で管理して、必要な時にだけ繋いで操作するなどといった工夫が必要だろう。

ただ、そのデバイスが壊れるリスクもあるし、紛失してしまうリスクもあるし．．いやいや便利なようで不便な世の中になったものだ。