パスキー
Passkey
ぱすきー
FIDOの仕組みに基づく、パスワードを使わない認証用の資格情報。利用者の端末に秘密鍵、サービス側に公開鍵を登録し、ログイン時は端末の生体認証やPINで秘密鍵を使った署名を返す。秘密鍵はサーバに送られず、正規のサイトにしか応答しないためフィッシングに強い。
Past Exams
過去問での出題
過去問で 1 回出題（情報処理安全確保支援士試験 1）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
パスワードを使わずに安全なオンライン認証を行うためのFIDOアライアンスの規格で、W3CのWebAuthnと、認証器と端末の間の通信を定めるCTAPから成る。利用者の端末に保管した秘密鍵で署名を作成し、サービス側は登録された公開鍵で検証するため、サーバからパスワードが漏えいする心配がなく、フィッシングにも強い。
パスワードを使わずに本人を確かめる認証方式で、FIDO Allianceが定めたFIDOが代表的な規格である。端末で生体認証やPINにより利用者を確かめ、端末に保管した秘密鍵で署名した応答をサーバが公開鍵で検証するため、秘密の情報がネットワークを流れず、フィッシングにも強い。FIDOの資格情報を複数の端末で使えるようにしたものをパスキーという。
Webブラウザから認証器を使って、公開鍵暗号によるパスワードレス認証を行うためのAPIを定めたW3Cの標準で、FIDO2を構成する仕様の一つ。Webサイトは登録時に認証器が生成した公開鍵を保存し、ログイン時にはサーバが発行したチャレンジに認証器が秘密鍵で付けた署名を検証する。署名はサイトのドメインに結び付けられるため、偽のサイトでは使えない。