Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第3部 3-7

パスキーとパスワードレス認証とは｜FIDOの仕組みとリスクベース認証

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • パスワードの使い回しをやめさせたい・パスキーの導入を検討するとき
  • 多要素認証を入れたのに、偽サイトでログインを奪われる手口があると聞いて不安なとき
  • SGや支援士、Security+の勉強で、FIDO・パスキー・リスクベース認証の違いをつかみたいとき

読み終えたあと、社内でこう言えます

「パスキーの仕組みと、使い回しをやめる利点を整理しました」

結論：パスキーは、パスワードの代わりに端末の中の秘密鍵でログインする仕組みです。業界団体FIDO Allianceの規格（FIDO2）に基づきます。サーバーに盗まれて困る秘密がなく、偽サイトに入力させる手口（フィッシング）に強いのが最大の利点です。使い回しの問題も、覚えるパスワードがなくなることで根本から消えます。Google WorkspaceやMicrosoft Entra IDでは、管理画面の設定で導入できます。いつもと違うログインだけ追加で確かめるリスクベース認証と組み合わせると、守りが厚くなります。

パスワード、ワンタイムパスワード、パスキーを、使い回しとフィッシングへの強さで比べ、リスクベース認証を重ねる図

なぜパスワードだけでは守れないのか

パスワードは「本人だけが知っている秘密」のはずです。しかし実際には、次の3つの弱点があります。

弱点起きること
使い回しどこか1つのサービスから漏れたパスワードで、ほかのサービスにも入られる。
フィッシング本物そっくりの偽サイトに入力すると、そのまま攻撃者に渡る。
サーバーからの漏えいサービス側に保存された情報が盗まれ、解析される。

多要素認証（ログインに2つ以上の種類の確認を使うこと）は、使い回しの被害を大きく減らします。導入の手順は「多要素認証を導入していますか」の回答例にまとめています。

ただし、SMSや認証アプリの6桁のコードも、偽サイトに入力すれば中継されます。米国のNISTが2025年7月に公表した認証の指針SP 800-63B-4も、パスワードやワンタイムパスワードをフィッシングに強い方式とは扱っていません。多要素認証のあとのログイン状態を奪う手口はAitB攻撃の記事で説明しています。

パスキーの仕組み：秘密を送らないログイン

パスキーは、公開鍵暗号の「鍵のペア」を使います。サービスに登録するとき、端末の中で秘密鍵と公開鍵が1組作られます。

  1. 登録：公開鍵だけをサービスに預ける。秘密鍵は端末から出さない。
  2. ログイン：サービスが毎回ちがう問題（チャレンジ）を送る。
  3. 本人の確認：利用者は端末のロック解除と同じ方法（指紋、顔、PIN）で承認する。
  4. 署名して返す：端末が秘密鍵で問題に署名して返し、サービスが公開鍵で確かめる。

この流れをチャレンジレスポンス認証と言います。サービスに置かれるのは公開鍵だけなので、盗まれてもログインには使えません。指紋や顔の情報は端末の中で照合され、サーバーには送られません。

パスキーはサイトごとに別々に作られ、ブラウザがそのサイトの本物のドメインかを確かめてから使います。偽サイトでは本物のサイトのパスキーが使われないため、利用者がだまされても秘密は渡りません。これがフィッシングに強い理由です。

同期するパスキーと、端末に固定するパスキー

種類保存場所向いている人
同期するパスキーiCloudキーチェーンやGoogleパスワードマネージャーなど。同じアカウントの端末間で、暗号化して共有される。一般の社員。機種変更しても使い続けられる。
端末に固定するパスキー1台の端末や、USBなどのセキュリティキーの中だけ。外へ出ない。管理者や、経理など重要な権限を持つ人。

NISTのSP 800-63B-4は、同期するパスキーを中位の保証レベル（AAL2）までは認め、最上位（AAL3）では使わないとしています。中小企業では、一般の社員は同期するパスキー、管理者はセキュリティキーという分け方が現実的です。

認証の方式を比べる

今使っている方式と比べると、パスキーで何が変わるかが分かります。

方式使い回しの被害フィッシング利用者の手間
パスワードだけ受ける受ける覚える・入力する
パスワード＋6桁コード大きく減る中継されると受ける2回入力する
パスキー起きない（覚える秘密がない）強い指紋や顔で承認するだけ

利用者にとっても楽になる点が、パスキーの強みです。FIDO Allianceが委託した2024年の調査では、回答者の53%が少なくとも1つのアカウントでパスキーを有効にしていました。

会社でパスキーを入れる手順

会社で使うメールやファイル共有のアカウントは、管理者の設定でパスキーを使えるようにできます。

サービス設定の場所（2026年10月時点）注意
Google Workspace管理コンソールの「セキュリティ」→「認証」→「パスワードレス」→「パスワードをスキップ」有効にしても、既存のパスワードは消えない。社員が各自でパスキーを登録する。
Microsoft 365（Entra ID）Entra管理センターの「認証方法」→「ポリシー」→「パスキー（FIDO2）」追加のライセンスはいらない。同期するパスキーと端末に固定するパスキーの両方を選べる。
  1. アカウントを棚卸しする：退職者や共有のアカウントを先に整理する。残ったままだと、そこが穴になる。
  2. 管理者から始める：管理者にセキュリティキーを2本ずつ登録し、1本は金庫などに保管する。
  3. 社員に広げる：登録の手順を1枚にまとめ、期限を決めて全員に登録してもらう。
  4. なくしたときの手順を決める：スマホをなくした人が、本人確認のうえで再登録できる流れを用意する。
  5. 弱い方式を減らす：全員の登録が済んだら、SMSなどの弱い方式を順に止める。

たとえば社員35人の専門商社では（架空の例）

Microsoft 365を使う商社で、営業担当が私用のサービスと同じパスワードを使っていました。私用のサービスから漏れたパスワードでメールに入られ、取引先に偽の請求書が送られかけました。

この会社は、まず管理者2人にセキュリティキーを配りました。次に、社員のスマホにパスキーを登録してもらい、1か月で全員が移行しました。覚えるパスワードがなくなったので、使い回しの指導もいらなくなりました。パスワードの規則の考え方はパスワードのルールも参考にしてください。

リスクベース認証：いつもと違うログインだけ確かめる

リスクベース認証は、ログインの状況から危なさを見積もり、危ないときだけ追加の確認を求める仕組みです。毎回すべての確認を求めないため、利用者の手間を増やさずに守りを足せます。

見る材料には、次のようなものがあります。Microsoft Entra ID Protectionの検知の例です。

危ないと判断したら、多要素認証を求めるか、ログインを止めます。ただしMicrosoftの場合、多くの検知には上位のライセンス（Entra ID P2）が必要です。中小企業では、まずパスキーで入口を固め、リスクベース認証は余力に応じて足す順番が現実的です。

チェックシートではこう聞かれる

よくある設問答え方の例
多要素認証を導入していますか。はい。Microsoft 365の全アカウントでパスキー（FIDO2）を必須とし、管理者はセキュリティキーを使っています。
パスワードの使い回しを防ぐ対策をしていますか。はい。業務のアカウントはパスキーでログインする運用とし、パスワードを入力する場面をなくしています。
不審なログインを検知する仕組みはありますか。いいえ。現在は管理者がログイン履歴を月1回確認しています。〇月までに、普段と違うログインを通知する設定を入れる予定です。

パスキーは多要素認証に当たるかと聞かれることがあります。端末（持っているもの）と、指紋やPIN（本人の特徴や知っていること）の2つを使うため、多要素認証として説明できます。

試験ではここが問われる

SG・支援士・Security+ 4・CISSP 5

  • パスキー（FIDO）の仕組み：サーバーには公開鍵だけを登録し、秘密鍵は端末から出さない。ログインは署名によるチャレンジレスポンス。
  • 生体情報の扱い：FIDOでは指紋や顔の照合は端末の中で行い、生体情報はサーバーに送らない。
  • フィッシング耐性：パスワードやワンタイムパスワードは中継されうる。パスキーはサイトに結びつくため強い。
  • リスクベース認証：場所・端末・時間などからリスクを判断し、高いときだけ追加の認証を求める。
  • 多要素と多段階：知っているもの・持っているもの・本人の特徴のうち、異なる種類を組み合わせるのが多要素。同じ種類を2回重ねるのは多段階です。

確認問題

問1 パスキー（FIDO2）によるログインの説明として、最も適切なものはどれですか。

  1. ア 利用者の指紋の情報をサーバーに送り、サーバーで照合する
  2. イ サーバーに登録した秘密鍵で、端末から送られた署名を確かめる
  3. ウ 端末の秘密鍵でサーバーからの問題に署名し、サーバーは登録された公開鍵で確かめる
  4. エ サーバーが送る6桁のコードを、利用者が入力する
答えと解説
正解：ウ　秘密鍵は端末に残り、サーバーには公開鍵だけを登録します。アは誤りで、指紋は端末の中で照合されます。イは鍵の置き場所が逆です。エはワンタイムパスワードの説明です。

問2 社員22人の設計事務所（架空）で、メールのアカウントが偽のログイン画面で乗っ取られました。SMSのコードによる多要素認証は入れていました。再発防止として、最も効果が高いものはどれですか。

  1. ア パスワードを12文字から16文字に延ばす
  2. イ SMSのコードを、認証アプリのコードに切り替える
  3. ウ パスキーを全員に登録させ、ほかのログイン方法を順に止める
  4. エ パスワードを毎月変更させる
答えと解説
正解：ウ　偽サイトでの入力が原因なので、フィッシングに強いパスキーが効きます。認証アプリのコード（イ）も偽サイトで中継されうるため、根本の対策になりません。アとエは、偽サイトに入力すればどちらも渡ってしまいます。

問3 リスクベース認証の説明として、最も適切なものはどれですか。

  1. ア すべてのログインで、毎回3つの要素を求める
  2. イ ログインの場所や端末などから危なさを判断し、高いときだけ追加の確認を求める
  3. ウ 一度のログインで、複数のサービスを使えるようにする
  4. エ 人間による操作かどうかを、画像の文字を読ませて確かめる
答えと解説
正解：イ　状況に応じて確認の強さを変えるのがリスクベース認証です。アは常に強い確認を求める方式で別物です。ウはシングルサインオン、エはCAPTCHAの説明です。

よくある質問

パスキーを入れたら、パスワードはなくなりますか？
サービスによっては、パスワードがアカウントに残ります。Google Workspaceでも、設定を有効にしただけでは既存のパスワードは消えません。残るパスワードは長く使い回しのないものにし、ログインにはパスキーを使う運用にします。
社員がスマホをなくしたら、ログインできなくなりますか？
同期するパスキーなら、同じアカウントのほかの端末から使えます。端末に固定するパスキーしかない場合は、管理者が本人確認をしてから再登録します。手順を先に決めておくと、慌てずに済みます。
私用のスマホでパスキーを使わせてもよいですか？
使うことはできますが、私用のアカウントにパスキーが同期され、退職後も残る点に注意が必要です。業務用の端末を配るか、管理者のように重要な権限を持つ人にはセキュリティキーを使う、といった線引きを決めてください。

アカウントの仕分けは任せて、手順書で進める

Moshiruは、打合せなしでテキストだけでお受けします。管理画面から書き出したアカウントの一覧をお送りいただくだけで、消すもの・権限を下げるもの・そのままでよいものに仕分けし、手順書にしてお返しします。パスキーへ移る前の下準備に使えます。

アカウント棚卸しパックを見る100人まで5万円（税別）メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. FIDO Alliance「Passkeys」
  2. NIST「SP 800-63B-4: Digital Identity Guidelines — Authentication and Authenticator Management」（2025年7月）
  3. Google Workspace 管理者ヘルプ「Allow users to skip passwords at sign-in」
  4. Microsoft Learn「Enable passkeys (FIDO2) for your organization」
  5. Microsoft Learn「What are risk detections?」（Microsoft Entra ID Protection）
  6. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）