本記事は「Passkey Adoption is Rising, but is it Worth It Yet?」を翻訳した記事です。
パスキーはパスワードに代わる魅力的な選択肢として急速に普及しています。FIDO Allianceが開発した標準に基づいて構築され、Apple、Google、Microsoftなどの企業にサポートされています。ユーザーはパスワードを覚える代わりに生体認証、デバイスPIN、またはハードウェアベースのクレデンシャルを使用して認証できます。
エンタープライズにとってパスキーへの移行には説得力のある理由があります。フィッシング攻撃に対する強力な保護とユーザーエクスペリエンスの向上が約束されているためです。しかしパスキーを採用するとレガシーシステム、デバイス管理、リカバリワークフロー、展開戦略に関する疑問も生じます。
本記事ではパスキーの概要、同期型パスキーとデバイスバウンドパスキーの違い、考慮すべき運用上の課題、および従来のパスワードと比較したパスキーの利点について説明します。要するにパスキーを採用する価値がすでにあるかどうかを判断できます。
パスキーとは何か
パスキーは公開鍵暗号方式を使用してユーザーの身元を検証するパスワードレス認証方式です。従来のパスワードを作成して保存する代わりにユーザーのデバイスは暗号化キーペアを生成します。秘密鍵はデバイス上に安全に保持され、公開鍵はアプリケーションやサービスと共有されます。
ユーザーがアプリケーションやWebサイトにサインインするとチャレンジ（ランダムな暗号文字列）がデバイスに送信されます。ユーザーは指紋や顔スキャンなどの生体認証要素、またはデバイスPINを使用してデバイスに保存されている秘密鍵に対するアクセスをロック解除します。次に秘密鍵がチャレンジに署名し検証目的でアプリケーションやWebサイトに送り返されます。以下の図はチャレンジから検証済みアクセスまでのサインインフローを示しています。
秘密鍵はデバイスから離れることがなく盗むべき共有シークレットも存在しないため、パスキーは従来のパスワードよりもフィッシング、クレデンシャル盗難、パスワードの使い回し攻撃に対してはるかに高い耐性を持ちます。
パスキーはFIDO AllianceとWorld Wide Web Consortium(W3C)が開発した標準に基づいて構築されており最新のブラウザ、オペレーティングシステム、デバイス間で機能します。Apple、Google、Microsoftなどの主要プラットフォームはパスキーサポートをエコシステムに直接統合しておりコンシューマー環境とエンタープライズ環境の双方で採用を加速させています。
パスキーの種類
大きく分けて同期型パスキーとデバイスバウンドパスキーの主に2つの種類があります。
同期型パスキー
同期型パスキーは利便性と移植性を考慮して設計されています。Apple iCloudキーチェーンやGoogleパスワードマネージャーなどのクラウドエコシステムを通じてユーザーが持つデバイス間で安全に同期されます。これによりユーザーは1つのデバイスでパスキーを登録し同じアカウントに接続されている別のデバイスで使用できます。
同期型パスキーはユーザーエクスペリエンスを大幅に向上させオンボーディングの摩擦を減らします。従業員は新しいクレデンシャルを繰り返し登録することなくノートパソコン、スマートフォン、タブレット間を移動できます。しかし組織は制御とリカバリについて懸念を抱く可能性があります。特に規制された環境では個人のクラウドアカウントを通じてクレデンシャルを同期するとガバナンスおよびコンプライアンスに関する課題が生じる可能性があります。
デバイスバウンドパスキー
デバイスバウンドパスキーは特定のデバイスやハードウェアオーセンティケーターに紐付いたままであり他の場所には同期されません。例としてYubicoなどのハードウェアセキュリティキーに保存されているクレデンシャルやエンタープライズが管理するデバイス上で直接管理されるTPMベースのクレデンシャルが挙げられます。
クレデンシャルを保存する場所をより強力に制御できるため高セキュリティ環境で好まれる傾向があります。攻撃者がクラウドアカウントを侵害してもパスキーは元のデバイスから離れないためクレデンシャルへのアクセス権は得られません。しかしトレードオフとしてユーザビリティと利便性が失われます。紛失したデバイスの交換、追加デバイスのオンボーディング、クレデンシャルのリカバリはユーザーおよびITチームの双方にとって運用上複雑になる可能性があります。
エンタープライズでパスキーを使用する主な利点
パスキーを検討する最大の利点はリスクの軽減です。
認証は共有シークレットではなく暗号化クレデンシャルのセットに紐付いているためクレデンシャル関連攻撃にユーザーがさらされるリスクを劇的に減らせます。特にフィッシングの場合、秘密鍵は特定のWebドメインにバインドされているため別のドメインでユーザーを認証するためには使用できません。
パスキーは効率も向上させます。パスワードのリセットは多くの企業において最も一般的なヘルプデスクへのリクエストの1つです。パスワードへの依存を減らすことでサポートにかかるオーバーヘッドを削減できます。ユーザーもスムーズなサインイン体験を歓迎するでしょう。
最後にパスキーへの切り替えは最新のセキュリティ戦略と確実に一致します。企業はゼロトラストアーキテクチャと強力なMFAの採用を積極的に推進しています。パスキーのようなパスワードレスな取り組みはゼロトラストやMFAの推進にぴったりと適合しエンタープライズが認証戦略をモダナイズするのに役立ちます。
パスキーを使用する際の主な課題
利点があるにもかかわらずパスキーへの切り替えは新しいログインオプションを有効にするほど単純ではありません。
多くの組織にはパスキーをサポートしていない古いアプリケーションや内部システムがありサポートするために改修する必要があるかもしれません。サードパーティのプラットフォームもまだパスキーをサポートしていない可能性があるためサポートが決定するまではパスワードを使用し続ける必要があります。
現実的にはエンタープライズは移行期間中にハイブリッド認証モデルを管理する必要があることを意味します。
リカバリとライフサイクル管理もパスキーにおいて非常に重要な役割を果たします。従業員がデバイスを紛失したり退職したりした場合、ITチームはクレデンシャルのリカバリ、再登録、失効に関する明確なプロセスを必要とします。ワークフローは従来のパスワードリセットプロセスよりも複雑になる可能性があります。
パスキーはデバイスバウンドである可能性が高いためリセットする中央のクレデンシャルが存在しません。代わりにITチームは新しい登録を発行する前に別の帯域外プロセスを通じてユーザーの身元を検証する必要があります。また紛失または廃棄したデバイスに以前登録したパスキーは明示的に失効させる必要があります。
最後に組織はデバイスバウンドパスキーと同期型パスキーのどちらを好むか、また請負業者やリモート従業員に異なる選択肢を適用するかどうかを決定する必要があります。
レガシーシステムへの対応
組織へのパスキー導入を検討している場合レガシーシステムはおそらく大きなハードルの1つになります。古いアプリケーションはWebAuthnやFIDO2などの最新の認証標準をサポートしていない可能性があります。
だからといってパスキーが選択肢から外れるわけではありません。レガシーアプリケーションの前にアイデンティティプラットフォームやシングルサインオン(SSO)プラットフォームを導入しより現代的な方法で認証を処理できます。
実際にはほとんどの組織はしばらくの間ハイブリッド認証環境を運用し自然に適合する場所でパスキーを使用しながらまだサポートできないシステムには代替となる認証方法を維持することになるでしょう。
段階的な展開の検討
ほとんどの組織にとって段階的な展開は新しい実装に対する最も実用的なアプローチですがパスキーの場合は特にそうです。会社全体に即座の移行を強制するのではなく小規模なユーザーグループや低リスクなアプリケーションから始めるのが良い方法です。
段階的な展開によりITチームとセキュリティチームはプロセスにおける複数のポイントでユーザーエクスペリエンスを評価できます。これにより互換性の問題を特定しより多くのユーザーに拡大する前に既存のリカバリプロセスやサポートプロセスを改善できます。
特にレガシーシステムが関与している場合パスキーはしばらくの間パスワードと共存する可能性が高いです。段階的な展開は組織が管理下にある内部アプリケーションやシステムをモダナイズするのに役立ちます。
パスキーとパスワードの比較
パスワードは依然としてあらゆるエンタープライズ環境に組み込まれています。弱点があるにもかかわらずシステムとユーザーが理解できる柔軟性と普遍的な互換性を提供します。しばらくの間はパスワードに依存し続ける可能性が高いことを考慮するとパスキーが認証戦略に組み込む価値があるかどうかを検討しているかもしれません。
単なる「新しいもの対古いもの」という問題ではありません。双方の認証方法における長所と短所からわかるようにパスキーはパスワードが従来抱えていたセキュリティおよびユーザビリティに関する多くの問題を解決するために作成されました。
| 長所 | 短所 | |
|---|---|---|
| パスワード | 実質的にあらゆるシステムで普遍的にサポートされている ユーザーとシステムの両方にとって馴染みがある 中央での制御とリセットが容易 最新のデバイスやハードウェアを必要としない レガシー環境での使用が簡単 | フィッシング攻撃に対して脆弱 ユーザーは脆弱なパスワードや使い回しのパスワードを作成しがち MFAは摩擦を追加し依然としてバイパスできる可能性がある |
| パスキー | クレデンシャル盗難やフィッシングに対する強力な耐性 より高速でスムーズなログイン体験 パスワードリセットとサポートのオーバーヘッドを削減 ユーザーが覚えるべきパスワードがない | レガシーシステムがサポートしていない可能性がある デバイスの紛失が大きな問題を引き起こす可能性がある エンタープライズでの展開には計画とユーザー教育が必要 同期型パスキーはガバナンスの懸念を引き起こす可能性がある |
パスキーを採用する価値はあるのか
多くの場合答えは「はい」ですが重要な注意点があります。パスキーへの切り替えから得られる価値は企業のインフラストラクチャおよびセキュリティの優先順位に大きく依存します。
最新のアイデンティティプラットフォーム、ゼロトラストの取り組み、管理対象デバイスにすでに投資しているエンタープライズにとってパスキーは自然に適合し組織の大部分に対して有意義なセキュリティとユーザビリティの向上をもたらします。
パスキーの最大の利点はパスワードが長年抱えてきた多くの弱点に直接対処できることです。パスキーはフィッシングやクレデンシャル盗難のリスクを軽減します。また一般的にパスキーはほとんどのユーザーにとって認証プロセスをよりスムーズに感じさせます。長いパスワードを覚えたりパスワードマネージャーを何度も開いたりする必要はありません。
とはいえパスキーがすべての認証の悩みを解決する魔法の代替手段というわけではありません。エンタープライズは依然としてリカバリワークフロー、デバイス管理、レガシーアプリケーションのサポートについて慎重に考える必要があります。パスキーに移行する前にガバナンスポリシーと従業員向けのトレーニングガイドを整備する必要があります。
パスキーは「すべてかゼロか」の決定ではなく段階的かつ戦略的な採用計画を必要とするものです。組織が以下の記述のうち少なくとも2つに「はい」と答える場合、検討する価値があるでしょう。
- フィッシングやクレデンシャル関連の攻撃に対するより強力な保護を求めている
- 従業員向けに企業デバイスを管理している
- すでにIAMインフラストラクチャのモダナイズを進めている
- パスワード関連のサポートコストと摩擦を削減したい
パスキーが一夜にしてパスワードを完全に置き換えることはないかもしれませんが多くのエンタープライズにとって長期的な認証計画の一部として検討を正当化できるほど十分に成熟した技術です。
パスキーは戦略的な決定
パスキーを採用するかどうかの問題は本質的に良いか悪いかではなく組織が効果的にサポートする準備ができているかどうかにかかっています。デバイス管理、ガバナンスポリシー、インフラストラクチャの準備状況といった要因はパスキーが環境に価値をもたらすかどうかを判断する上で重要な役割を果たします。
多くの企業にとって前進する道は段階的なものであるべきです。最も意味のある場所にパスキーを導入し必要に応じて従来の認証方法に対するサポートを継続します。サードパーティのプラットフォームや他のエンタープライズツールでも採用が拡大し続けるはずであり利用可能になったプラットフォームでパスキーを有効にできます。
パスキーは数年前のような実験的な機能ではなくなり長期的な認証戦略における真剣な検討事項となっています。
About the author
Thinus Swart
Cybersecurity Specialist