パスキーの基本とそれにまつわる誤解を解きほぐす

2023 年は文句なく「パスキー元年」になりました。非常にたくさんのサービスがパスキーに対応し、2024 年はいよいよパスキー普及の年になりそうです。 本記事では、パスキーの基本を振り返ったうえで、パスキーでみなさんが勘違いしやすい点について解説します。 2023 年は本当にたくさんのウェブサイトがパスキーに対応しました。例を挙げます: Adobe Amazon Apple eBay GitHub Google KDDI Mercari Mixi MoneyForward Nintendo NTT Docomo PayPal Shopify Toyota Uber Yahoo! JAPAN もちろんこのリストですべてではないですが、これらだけでも、世界人口のかなりをカバーできるはずで、まさに大躍進と言えます。もしまだパスキーを体験していないという方がいたら、ぜひこの機会にお試しください。

[mohri]

こういうのはいくら説明されても実際にやらかしてみないと理解できないからまずパスキーを設定してから端末を紛失してなんやかんあやあって「助かったー」という体験をすることが重要（やりたくない

[ata00000]

同期に使っているGoogleアカウントやAppleIDがBANされるとパスキーが使えなくなる？についても回答ほしい。このせいで怖くて使えない⋯

[yosida95]

パスキーは大抵アカウントに複数登録できるので、 iCloud キーチェーンと 1Password みたいな組み合わせでバンや閉め出しに備えられる / そもそもパスワードマネージャから閉め出されたら詰むのはパスキー以前の話

[ya--mada]

KDDIの問い合わせ3割減は、問合わせが必要になる利用者を振り落とした結果のような気がしている。

[SATTON]

追記修正されとる「Android 端末を紛失してしまった場合、Google アカウントにさえログインできれば」とあるが事前に準備しとかんとログインできんのよ。そういう事前説明不足が不信につながるんよ。

[junglejungle]

"新しいデバイスで同じパスワードマネージャーのアカウントにログインできれば" ここがよくわからない。デバイスを紛失してもパスキー有効にしたGoogleアカウントにログインできるの？

[pixmap]

Bitwardenがマルチデバイス同期に対応するのを待ってる。現在はまだブラウザ機能拡張版のみで、Android版, iOS版ともに対応できてない。

[tick2tack]

パスワードよりパスキーが脆弱だと考えてしまう人は、セキュリティへの攻撃というと特定の個人・企業を狙ったものをイメージしてしまう人達なのではと思ってる。スパム的攻撃ができないだけで大半の被害は減る

[yarumato]

“パスキーは、デバイス所有者がデバイス内に保存された鍵を使ってウェブサイトやアプリにログインできる仕組み”　　スマホを手元に置きたくないし生体認証も使いたくない自分には不便。あとGitHub複アカ認証どうする

[omega314]

スマホ(やそれに準ずるもの)ぐらいは誰でもいつでも持ってますよね的なノリが好かんので。それにたとえ持ってたとしてもますます「手放せなくなる」のは精神的にキツイ。

[efcl]

passkeyについて

[mas-higa]

昔 OpenID で痛い目に遭ったんでなぁ

[number917]

複数のパスキーサービスに登録して、それを複数デバイスに分けて使うとリスクを分散させられるのかな、面倒だ（読んでない）／デバイスなくしても復旧できるのか、なんか心配だよな

[yo_waka]

Firefox早く正式サポートきてくれー

[tamachan429]

Firefoxはまだなんだ

[JULY]

記事の中身を読む前に、ブコメでこの記事が肝心なところを解説していないっぽい事がわかった。

[H4221]

FirefoxとBitwarden派の自分はまだ何もできることないのね

[tu_no_tu]

Bitwardenのアプリ対応が遅いのは、開発にXamarin使っていて、Xamarinの対応が遅いから。 来年にはネイティブ開発になるので、このような対応遅延は解消される見込み。

[uniR]

パスキーとChromeのパスワードマネージャーの違いがよくわからないままだった(馴染みのない分野で……)。パスキーを登録できたら登録するし、パスワードマネージャーも併用してるし、それで何が起こるのか謎

[NOV1975]

誤解への回答のいくつかが連関しててトートロジー気味になっとる気がするんだが。

[boxmanx99]

冬になると指紋認証ができなくなる乾燥肌なので、虹彩認証デバイス安くなってほしいです……

[buhoho]

パスワード管理できないけど、締め出しを考慮した複数端末管理ならできる。って利用者を想定するのは厳しくないでしょうか。運用して実際にどんなトラブルなるのか実験するのかな。

[jiro68]

スマホのような常に紛失/盗難の可能性が高い機器に認証に関する重要な役割を与えてしまっている問題は解決出来ていないのでは？締め出しは回避出来ても第三者による認証突破が回避出来ていないように思う。

[hironobu-s]

“U2F”

[oinume]

確かになぁ。「パスキーでいくらセキュリティが向上しても、アカウントリカバリーが攻撃者から狙われやすいものだと、パスキーを導入した意味が半減してしまいます。」

[nao_cw2]

まぁそうなんだろうが今のところ使い勝手が良すぎるBitwarden一択／後たまにしか使わないがGoogle Authenticator／↓Bitwardenマルチデバイス使えるよ(違う意味かもしれんけど)スマホ同期できてるよ

[dltlt]

ドメイン名一致の偽サイトがユーザー該当の公開鍵を入手している場合には、ログインさせられてしまう？……という疑問への回答は無かった。勿論この場合でも、成り済まし可能なクレデンシャルは盗めないだろうが。

[sds-page]

端末紛失時の復旧手順と嘘の端末紛失報告でこじ開けようとする輩からの防衛手段をどう両立させるか

[ganaware]

どちらかがBanされてもいいように、iCloud Keychain と Google Password Manager の内容を同期する方法はないですか？

[kagoyax]

1Passwordで管理してマルチデバイスで認証するのが最強。1Passwordは保管庫が漏れても本人だけが知りうる秘密鍵がなければ保管庫は開けられない

[psne]

自分でビルド(または自作)した管理アプリにインポートさせる方法が知りたいやつ。つまり、手元に秘密鍵をバックアップしたい気持ちが一番大きなものになるやつ。

[solve0]

やっぱメモ帳だな

[cpw]

“パスキーを使う意義は、パスワードマネージャーの利用を強制できるところにもあります。”納得した

[gsggyhig]

1passwordは複垢認証も大丈夫です、選べます

[hc0001]

インターネットを使う全員にパスワードマネージャを使ってもらうのは非現実的、パスキーはそれに対する1つのアンサー

[umaemong]

スマホだけあれば使えるのだから、とりあえず試してみればよい。Googleとかは認証手段の1つとして追加されるだけなので、不要と思ったらすぐに取り消せる。