パスキー（FIDO認証）とは？パスワードレスを実現する認証方法についてご紹介

FIDOとは

FIDO（ファイド）とは、「Fast IDentity Online」を略したもので、生体認証を用いた認証技術の標準化を目指す国際規格のことです。生体認証を基本とした認証方法で、近年パスワードレス認証を普及させるために推進されています。

生体認証との違い

生体認証は指紋や顔、虹彩といった生体情報そのものを鍵として認証に用いる方法です。一方、FIDO認証では生体情報も認証の際に扱いながら、そのほかの情報を組み合わせて認証を進めていきます。1つの情報ではなく、複数の情報で認証を行うことを「多要素認証」と呼び、FIDO認証は多要素認証の1つの要素に分類されます。

FIDO認証の特徴

最大の特徴は、利用者が複雑なパスワードを設定する必要なく高いセキュリティレベルを担保できる点です。

現在、広く使われているユーザーIDとパスワードの組み合わせで行う認証方法はセキュリティ上安全性の高い方法とは言えません。

FIDO認証は、生体情報を基本としているため文字列のパスワードが必要ありません。また、第一段階の生体認証は端末ごとで行うため、登録した生体情報がインターネット上に流れることもありません。機密情報をインターネット上に置くリスクもないため、第三者に情報が流失する危険性は極めて低くなっています。

FIDO認証の種類

大きく以下の3種類があります。

• FIDO UAF
• FIDO U2F
• FIDO2

一般的にFIDOは、「FIDO UAF」か「FIDO U2F」のどちらかを指しています。

「FIDO2」は「FIDO UAF」と「FIDO U2F」を組み合わせた仕組みになっていて、特定の端末が不要である点が特徴です。

現在は、ビジネス・個人を問わず一般的に利用されているのはFIDO2となります。
WebブラウザやOSに標準搭載されており、PCの指紋センサーやスマートフォンの顔認証だけでログインが完結します（パスキーもこの技術に基づいています）。

FIDO認証が注目されているのは、従来のパスワードを使った認証方法が複数の課題を抱えているためです。

第一に、パスワードが第三者に渡ってしまうと今使っているアカウントを不正に使われてしまう危険性があります。

また、パスワードを作ると、パスワードを覚えなくてはなりません。利用しているサービスが1つや2つであれば問題ありませんが、数が増えるとどのパスワードがどのサービス用のものかわからなくなってしまいます。最悪の場合ログインができなくなってしまうこともあります。そこで、パスワードへの依存を減らす方法としてFIDO認証に注目が集まっています。

FIDO認証はどれくらい普及している？

2022年時点において、広く普及しているとはいえない状況でした。2022年5月、FIDO標準化を目指している団体「FIDO Alliance」は　Apple、Google、マイクロソフトの3社がFIDO標準規格のサポートをさらに拡大すると発表しました。

大手3社が導入し力を入れたこともあり、現在では、主要なOSやブラウザがが『パスキー（Passkeys）』として標準対応したことで、一般ユーザーからビジネスシーンまで幅広く利用される技術へと進化を遂げています。

FIDO認証を利用する主なメリットは以下の2点です。

• セキュリティの強化

1つ目のメリットは、従来の認証方法よりもセキュリティを強化できる点です。FIDO認証では認証に必要な生体情報などをサーバーが保有しないため、第三者がインターネットを介して情報を狙って攻撃を仕掛けても、利用者の情報が外部に流失することはありません。

また、認証は生体情報をベースとしているため、容易に乗っ取りや不正アクセスができない仕組みになっています。

• 利便性の向上

2つ目のメリットは、利便性が向上する点です。FIDO認証では、端末に生体情報を登録し、サーバーに置かれた情報を呼び出すだけで認証を終えられます。パスワードを使った認証方法はパスワードが増えれば増えるほど利用者の負担も増えていました。

認証には専用のデバイスと生体情報があれば済むため、複雑なパスワードを設定・入力する時間を省くことができ、ストレスなく作業を進めていく環境が整備できます。

かつてはFIDO認証のデメリットとして「専用のデバイスの購入コスト」および「対応サービスの少なさ」という2点が主に挙げられてきました。

今ではそれらのデメリットはパスキーの普及によりほぼ解消され、現在課題として検討すべき点としてはパスキーの管理にあります。

実務的な運用ルールの整備をどのように行うかが新たな検討事項となっています。

最後に仕組みについて解説していきます。

• FIDO認証の仕組み

FIDO認証は生体情報も含めて認証を行い、サーバーと端末の関係性は「公開鍵暗号方式」を採用しています。公開鍵暗号方式は、端末側で生体認証を行い、サーバー側では端末の認証を行う仕組みとなっています。

特徴の1つとして、端末とサーバー間で認証に関わる情報のやり取りを行わない点が挙げられます。機密情報がネットワーク上に乗ることがないため、情報漏洩のリスクが低くなっています。

• 「秘密鍵」と「秘密鍵を利用するための認証」を突破するのは困難

仮にFIDO認証を不正に突破しようとする場合、「秘密鍵」と「秘密鍵を利用するための認証」が必要になります。

「秘密鍵」は認証に使う端末に保管されています。秘密鍵を手に入れることは端末そのものを保有しなければいけないため、現実的とはいえません。何らかの方法で端末本体を手に入れたとしても次に「秘密鍵を利用するための認証」、つまり生体情報が必要になります。ここまでのコストをかけなければ突破することはできないので安全性は非常に高くなっています。

まとめ

FIDO認証は生体情報を基本とした新しい認証方法として注目を集めています。専用のデバイスが必要なため普及が進んでいないという問題は抱えていますが、大手企業が機能拡張を進めていくこともあり、導入の拡大が予想されています。

安全性の高さは担保されているので、興味のある方は導入の検討を進めてみてはいかがでしょうか。