パスキーが設定されているアカウントは、従来のパスワードだけで守られているアカウントより、かなり安全性が高いと考えてよいです。
ただし、「パスキーがある＝絶対に安全」ではありません。
ここを理解しておくことが重要です。
パスキーが設定されていれば安全？
結論からいうと、
基本的には安全性が高い。特にフィッシング詐欺やパスワード漏洩への対策として強い。
ただし、端末やアカウントそのものが乗っ取られれば被害を受ける可能性はある。
ということです。
1. パスワードより安全性が高い理由
従来のログインでは、
ID＋パスワード
を使います。
例えば偽サイトに誘導されて、
「パスワードを入力してください」
と言われれば、入力したパスワードを盗まれる可能性があります。
一方、パスキーでは、パスワードそのものを入力して認証する方式ではありません。
そのため、
「偽サイトにパスワードを入力して盗まれる」
という典型的なフィッシング攻撃に強くなっています。
2. パスキーそのものを簡単に盗まれにくい
パスキーは、公開鍵暗号を利用して認証します。
簡単にイメージすると、
スマートフォン側
→ 秘密の鍵を持つ
サービス側
→ 対応する公開鍵を持つ
という仕組みです。
ログイン時には端末側で本人確認を行い、秘密鍵を使って認証します。
そのため、従来のように
「サービスにパスワードを入力して送る」
という方式とは大きく異なります。
3. Face IDや指紋認証と組み合わせると強い
例えばiPhoneなら、
パスキーを使う
↓
Face IDで本人確認
↓
ログイン
という使い方ができます。
指紋認証に対応した端末なら、
パスキー
↓
指紋認証
↓
ログイン
ということもできます。
つまり、
パスキー＝ログインの仕組み
Face ID・指紋認証＝本人確認
という役割分担です。
4. それでも「絶対安全」ではない
ここが一番重要です。
パスキーが設定されていても、以下のような問題には注意が必要です。
スマホを他人に使わせる
端末のロックを解除した状態で他人に渡せば、当然リスクがあります。
端末のパスコードを知られる
Face IDなどがうまく使えない場合、端末のパスコードが本人確認に使われることがあります。
そのため、パスコードを他人に教えないことが重要です。
Apple Accountなどの重要アカウントが乗っ取られる
パスキーを保存・同期する環境そのものを守る必要があります。
重要なアカウントには、パスキーだけでなく、アカウント復旧手段やセキュリティ設定も適切に設定しておくことが重要です。
5. パスキーがあってもフィッシング詐欺には注意
「パスキーだからフィッシング詐欺は関係ない」と考えるのも危険です。
パスキー自体はフィッシングに強いですが、詐欺サイトに誘導されて、
- クレジットカード番号
- 暗証情報
- 個人情報
- 認証コード
- 復旧情報
などを入力してしまえば、別の方法で被害を受ける可能性があります。
したがって、
「パスキーだからリンク先を何でも信用していい」
わけではありません。
6. パスキーが設定されているか確認するだけでは不十分
重要なのは、
「パスキーがあるか」＋「端末とアカウントが安全か」
です。
例えば、
- 端末に強力なパスコードを設定する
- Face ID・指紋認証を適切に設定する
- OSを最新状態にする
- 不審なアプリを入れない
- 不審なリンクを開かない
- Apple Accountなど重要なアカウントをしっかり保護する
- アカウントの復旧手段を確認しておく
といった対策も重要です。
パスキーは「家の鍵」に例えると分かりやすい
例えば、
パスキー＝家の鍵
だとします。
鍵自体は非常に頑丈でも、
家の鍵を玄関前に置いておく
なら安全とは言えません。
同じように、パスキー自体の安全性が高くても、
スマホを他人に渡す
↓
端末のパスコードも知られている
という状態なら危険です。
安全性をイメージすると
ざっくり比較すると、
パスワードだけ
→ △
パスワード＋2段階認証
→ ○
パスキー＋端末の生体認証
→ ◎
というイメージです。
もちろん、実際の安全性はサービスや端末の設定によって変わります。
結論
パスキーが設定されていることは、アカウントの安全性を高める非常に良い対策です。
特に、
パスワード漏洩・パスワード使い回し・フィッシングによるパスワード盗難
への対策として強力です。
ただし、
「パスキーがあるから何をしても安全」ではない
という点は忘れないでください。
「パスキー＋強力な端末ロック＋生体認証＋OS更新＋怪しいリンクを避ける」
という組み合わせにすると、かなり強固なセキュリティ対策になります。
コメント