こんにちは、５０代オッサンtrrymtorrsonです。
以前、ネット証券アプリや銀行アプリのセキュリティ認証が煩雑過ぎてワケが分からなくなっていることを書きました。
trrymtorrson.hatenablog.com
最近、特にワケが分からないのは「パスキー認証」です。
PCからもスマホからもログインするネット銀行。
僕の場合PCからのアクセスのほうが多い。
スマホのパスキー認証とPCのパスキー認証が別々にあるのか？
パスキー認証とは要するに、端末の指紋認証・顔認証・PIN・パターンなどでロックを解除することですが、じゃあPCでパスキー認証どうするんだよ？
実際、PCログインでパスキー認証しようとしたら、「セキュリティキーをUSBポートに挿入してください」とか言ってきて、「そんなUSB持ってねえよ！」とキレそうになりました。
というわけで、あらためて「パスキー認証」について整理しておこうと思った次第です。
【楽天証券より引用：パスキー認証（FIDO2） | 楽天証券】
ーーーーーーーーーーーーーーー
パスキー認証とは、パスワードの代わりに、スマホやPCの指紋認証・顔認証・端末PINなどを使ってログインする仕組みです。
サービス側には「公開鍵」、端末側には「秘密鍵」が保存され、秘密鍵そのものや生体情報がサービス側へ送信されることはありません。
偽サイトでは正しいドメインに対応するパスキーを使えないため、フィッシングにも強い方式です。
パスキー認証の基本的な仕組み
パスキーを登録すると、端末とサービスの間で一対の暗号鍵が作られます。
1. スマホやPC内で公開鍵と秘密鍵を生成する
2. 公開鍵をログイン先のサービスへ登録する
3. ログイン時に、端末の指紋・顔・PINなどで秘密鍵の使用を許可する
4. サービス側が公開鍵との組み合わせを確認してログインを認める
つまり、顔や指紋をサービスに送って照合しているのではなく、端末内の生体認証を「秘密鍵を使ってよいか」の確認に利用しています。
スマホとPCを併用する場合の違い
スマホとPCで同じサービスを使う場合、パスキーの保存先によって使い勝手が変わります。
iCloudキーチェーン：iPhone、iPad、Mac 同じApple Accountで同期される場合がある
Googleパスワードマネージャー：Android、Chrome搭載PCなど 同じGoogleアカウントで同期される場合がある
Windows Hello：Windows PC 原則、そのPCに保存。スマホでは利用できない場合がある
スマホ本体：iPhone、Android PCのログイン画面でスマホを認証器として使う
外付けセキュリティキー：PC、スマホ 対応端末に接続して利用する
特に注意が必要なのは、PCのWindows Helloに保存したパスキーが、スマホでそのまま使えるとは限らないことです。
スマホでもパスキー認証を使いたい場合は、スマホ側にも別途登録が必要になることがあります。
PCでスマホのパスキーを使う方法
PCにパスキーを登録していない場合でも、サービスが対応していれば、スマホを認証器としてPCにログインできます。
一般的には、PCのログイン画面で「別のデバイスを使用」「スマホを使う」「QRコード」などを選びます。
この方法では、次の条件が必要になることがあります。
* パスキーを登録したスマホを手元に置く
* PCとスマホのBluetoothをオンにする
* QRコードをスマホで読み取る
* スマホの指紋・顔・PINで承認する
* PC側とスマホ側の双方が対応するブラウザー・OSである
スマホを使ったPCログインでは、PCとスマホのBluetoothをオンにする必要があると案内しているサービスがあります。
そのため、毎回スマホを取り出すのが面倒なら、信頼できる自分専用のPCにPC用パスキーを登録する方が便利です。
面倒に感じやすい主な理由
PCとスマホの両方で登録が必要
パスキーは「アカウントに1つだけ存在するパスワード」ではなく、複数の認証器に登録できます。
スマホだけに登録した場合、PCログインのたびにスマホを使う必要があります。
保存先が端末やアカウントによって異なる
iPhoneではiCloudキーチェーン、AndroidではGoogle パスワード マネージャー、WindowsではWindows Helloなど、保存先が分かれます。
異なるプラットフォーム間で自動同期されない場合があるため、端末ごとの登録が必要になることがあります。
サービスごとに画面や対応方法が違う
「パスキーでログイン」という名称でも、実際には次のような選択肢が表示されます。
* この端末の生体認証を使う
* スマホを使う
* QRコードを読み取る
* セキュリティキーを使う
* パスキーを保存するパスワードマネージャーを選ぶ
サービスやブラウザーによって表示が異なるため、操作が統一されていないことがあります。
スマホとPCを併用する際の注意点
1. 自分専用の端末だけに登録する
パスキーは、端末のロックを解除できる人が使える可能性があります。
家族や同僚と共有するPC、ネットカフェや会社の共用端末には登録しないでください。
共有端末に登録すると、端末へアクセスできる他人がアカウントへログインできるおそれがあります。
家族で同じPCを使う場合は、OSのユーザーアカウントを分け、それぞれのアカウントにログインした状態でパスキーを登録する方法が安全です。
2. PCに登録するか、スマホを毎回使うかを決める
次のように使い分けると、操作の負担を減らせます。
自宅の専用PCを頻繁に使う：PCのWindows Hello、Touch IDなどに登録
外出先の複数PCを使う：スマホを認証器として利用
WindowsとiPhoneを組み合わせる：サービスが対応していればスマホのQRコード認証
複数端末を長期的に使う：スマホ、PCなど主要端末にそれぞれ登録
端末を紛失するリスクが高い：複数の復旧手段を事前に確認
自宅の専用PCで毎回スマホを取り出すのが面倒なら、PCにもパスキーを登録するのが現実的です。
一方、共有PCや借り物のPCには登録せず、スマホによる一時的な認証を使う方が安全です。
3. スマホを紛失・買い替えした場合に備える
パスキーは端末への依存度が高いため、スマホを紛失したり故障したりすると、ログインできなくなる可能性があります。
機種変更前に次を確認してください。
* iCloudキーチェーンまたはGoogle パスワード マネージャーの同期状態
* 新しいスマホへのパスキー移行方法
* PC側に登録した別のパスキーの有無
* サービスの本人確認による再登録手順
* 予備のセキュリティキーや復旧コードの有無
* 紛失時にパスキーを削除・無効化する手順
iPhoneからAndroid、AndroidからiPhoneへの変更、またはPCの買い替えでは、新端末での再登録が必要になる場合があります。
ただし、同じApple AccountやGoogleアカウントの同期機能を利用している場合は、再登録せずに使えることもあります。
4. パスキーを削除する前に別のログイン手段を確保する
古いスマホやPCを処分するときは、その端末に登録されたパスキーをサービスのアカウント設定から削除します。
ただし、先に新端末のパスキーを登録してください。
古いパスキーを先に削除すると、すべての端末から締め出される可能性があります。
パスキーの一覧に端末名や登録日時が表示されるサービスでは、不要な端末を定期的に確認して削除するとよいでしょう。
5. PCとスマホのBluetooth・カメラ・ブラウザーを確認する
スマホを使ってPCへログインする場合、次の原因で失敗することがあります。
* Bluetoothが片方または両方でオフ
* PCのカメラがQRコードを読み取れない
* スマホの標準カメラではなく、対応アプリが必要
* PCまたはスマホのブラウザーが古い
* ポップアップや認証画面がブロックされている
* PCが管理端末で、外部認証が制限されている
* スマホとPCが離れすぎている
* VPNやセキュリティソフトが認証通信を妨げている
うまくいかないときは、まず両端末のBluetoothをオンにし、対応ブラウザーを最新版にして、ログイン画面の「別のデバイスを使用」からやり直します。
6. 偽物のログイン画面でも承認しない
パスキーはフィッシングに強い仕組みですが、利用者が偽の画面で認証を承認してしまう危険が完全になくなるわけではありません。
* メールやSMSのリンクからログインしない
* 公式アプリまたはブックマークから開く
* PC画面に表示されたサービス名・ドメインを確認する
* 身に覚えのないログイン要求をスマホで承認しない
* QRコードを、信頼できる自分のPC画面以外で読み取らない
パスキー自体は偽サイトで使えませんが、攻撃者が偽サイトへ誘導し、別の認証情報や確認コードを入力させることはあります。
面倒さを減らす実践的な設定
おすすめは、スマホをメインの認証器として維持しつつ、頻繁に使う自分専用PCにもパスキーを登録する方法です。
1. スマホでパスキーが正常に使えることを確認する
2. 自宅などの自分専用PCにパスキーを登録する
3. PCではWindows Hello、Touch ID、または対応するパスワードマネージャーを選ぶ
4. スマホからPCへログインできることも確認する
5. 機種変更・PC廃棄の前に、新端末へパスキーを登録する
6. 不要になった端末のパスキーを削除する
1つのサービスで複数のパスキーを登録できる場合もあります。
例えば、最大5件まで登録できるサービスもありますが、上限や登録可能な端末数はサービスごとに異なります。
結論
スマホとPCを併用する場合の最大のポイントは、パスキーの保存先が端末・OS・アカウントごとに異なり、スマホとPCで自動的に共有されるとは限らないことです。
* 自分専用のPCにはPC用パスキーを登録する
* 共有PCには登録せず、スマホを一時的な認証器として使う
* 機種変更や紛失に備えて、複数のログイン手段を確保する
* 古い端末のパスキーは、新端末の登録後に削除する
* Bluetooth、QRコード、ブラウザーなどの動作条件を確認する
* 身に覚えのない認証要求は承認しない
この運用にすると、パスキーの安全性を保ちながら、毎回スマホを取り出す手間をかなり減らせます。
ーーーーーーーーーーーーーーー
以上、パスキー認証についてまとめてみましたが、やっぱ分かんねえよ！
文章が長くなりすぎて、余計にワケ分からなくなりました（苦笑）。
申し訳ございませんが、印刷してよく読み込んでいただきますようお願いいたします（汗）。
機会があれば、もっと分かりやすく整理したいと思います。
本日の記事は以上です。
-PR-
