パスワードはおしまい！ 認証はパスキーでやろう

はじめに パスワードは古来より認証に良く使われる方法ですが、その運用の難しさからセキュリティの懸念とその対策としての運用の複雑さ（複雑で長い文字列、90日でパスワード変更など）が要求される大きく問題をもった仕組みです。 その根本的な解決策としてFIDO Allianceを中心に推進されている 「パスワードレス」 が注目されています。これはPINや生体認証とデバイス認証を使ったMFAからなっており、フィッシングやパスワード流出に強い上に、ユーザも複雑なパスワードを覚えなくて良い、という大きなメリットがあります。最近はこの流れでPassKeyというものが登場し、Apple/MS/Googleのプラットフォーマが対応したことで、本格運用に乗せれるフェーズになってきました。というわけで以下に解説動画を作ったのですが、動画中で時間の都合で触れきれなかったところや、JavaScriptによる実装のサン

[kibitaki]

このタイトルは煽りじゃないんだが、ベンダ目線だよね。ユーザがどれだけついてくるかが暗澹。表でパスワードのユーザ利便性が×とされてるけど、老若男女のユーザ目線でそうかなぁって。制作者としては勉強が続く。

[rck10]

パスワードの強みはユーザーに環境を押し付けないことでしょ。ネットカフェの古いパソコンやスマホ持ってない人がどうやって認証するのかしら、という話で。

[hobbiel55]

生体認証を伴わない場合、PINを入力するところを見れてハードにアクセスできる同僚や家族によるショルダーハッキングに対してはこれまでの長いパスワードよりも脆弱に思える。

[soybeancucumber]

パスキーいいんだけど、手っ取り早い指紋認証とか、年寄は乾燥からか指紋が薄れてきて利用できないという問題があり、世代的には利用が難しい。

[ton-boo]

“原理的にMDCには秘密情報が保存されてしまうため、ここがハッキングされるリスクを考えると狭義のWebAuthnに比べると狭義のPassKeyはセキュリティで劣ります” 例示されてるあたりはいいとして今後緩い実装出てこないか

[NetPenguin]

GoogleやAppleなどのSNS認証を使用する→OktaとかAuth0とかを使用する→自前で実装する。大事。 ますます自前で認証を実装することのメリットは無くなっていく。

[kisiritooru]

パスキーは声に出して入力します。パスキーボイス。

[ritou]

細かい認識の違いをどこまで指摘すべきか迷うが、とりあえず読者に誤解が伝わってほしくない部分をコメント済み。

[roshi]

IDaaS導入が最適解なんだろうけどなかなか。。

[defiant]

すごい。すごく全てがまとまってる。

[IGA-OS]

“おそらく現在人類が持っている最もマシな認証方式です” これはマジで同意するわ。個人利用サービスはできるだけPasskey使おう

[nisisinjuku]

スマホのアプデをどんどんしてると知らぬ間に運用してるよね。気にならないのでどんどん進むといいと思うのです。パスワード正直めんどくさいし。

[unknownlabel]

基本はSMSやメールの2段階認証、端末によっては生体認証でいいかなぁって感じ

[tmatsuu]

わいわい

[pptppc2]

（パスワードは）アリ！？ナシ！？ナシ！？アリ！？

[dotneet]

password is dead ってタイトルでなかったことは評価したい。もうあれは飽きました。

[buhoho]

どうしてもパスキーに乗れない私。フィッシング対策はブラウザのパスワード保存(クラウド同期)でいいし。この程度の管理ができない人がアカウントとパスキー管理をできるかと言うと微妙だと感じてる。

[sukekyo]

ますますスマホ無くせなくなるだけじゃないか？って思って。それこそやりすぎ都市伝説でお馴染みの関暁夫氏みたいに身体にチップ埋め込めるようになって欲しいわ。

[aike]

わかりやすくて助かるけど、この手の説明は最初に利用者目線のUIフローを示してほしい。

[emt0]

ユーザーが多岐にわたる場合はサイト側のセキュリティ高めつつパスワード８文字以上＆場合によっては二段階認証で良いと思う。結局代替手段も用意しろ言われたら面倒になるしリスクと比較すれば良い

[kagerouttepaso]

パスワード管理ノート(物理)+SMSのMFAに比べて、パスキーは一括転送の手段も無く端末への依存性が高いので包括的な利便性はむしろ最悪だと思ってる。

[Sakana_Sakana]

その通りなんだけど、同時に、生活保護や、年金生活の人にスマホ契約やPCでのインターネットを必須と出来るのか？と考えると生活インフラに浸透する迄の道のりは遠いよなぁとも感じる。

[enemyoffreedom]

WebAuthnは仕組みが分散的でええやんと思ったが、利便性等のために結局クラウドに情報を置くPasskeyという形でGAFA等のビッグテックに集約・依存する体制に取り込まれていきそうなのがどうも

[SATTON]

実装者はデバイス紛失した際や故障した際の導線をハッキリした上で実装してや。

[onionskin]

一般的なMFA より、パスワードレスの方が万人にとってよほど分かりやすいよ

[ichan128]

World IDの虹彩による生体認証が一般的になるのかな

[m10i]

必要性は分かるが、全社員がついてこれなさそう

[nakag0711]

registという英単語はない

[raitu]

実質的にデバイス認証なんでデバイス対応が必要なのがネックよな

[Andrion]

パスキーは他所のインフラに乗っかってるのかサービスとして良くないし、法人向けの場合は認証用のスマホ置いとくわけにもいかないから普及しないと思うんだよな

[soratomo]

パスキーの特徴と仕組みや実装例

[ritena]

自分が実装する分にはいいんだけど、スマホ盗難の実体験やソーシャルハッキングからユーザーとしてはなんかモヤる。特にパスキー推す人が単にパスワードdisするので信用できない。変な先入観もっちゃってるかも。

[SilverHead247]

世界規模で住所不定だと、スマホにsim経由で送られてくるOTPがうまくキャッチ出来なくて困る。

[REV]

//　『文字列を送信して認証するなら、パスワードと同じやん』と思っていたので勉強になった。

[hashimoto-ny]

生体は指紋が消えるみたいなコメントあるけどローカル側の認証でPINもあるんだから基本問題にならなくない？スマホなら何かでロック解除してるしWinでもPINは最近標準搭載でしょ PIN盗まれたらはまず本体窃盗に気をつけ

[tattyu]

パスキー、PC作業中に頻繁にスマホを要求されたり、スマホで見てるのにスマホ要求されたり凄いストレスかかる。。