パスワードレス認証（FIDO）

パスワードを使わず、生体情報やセキュリティキー、端末に保管した秘密鍵で本人を確認する方式。FIDOなどの規格が用いられ、パスワードの使い回しやフィッシングによる漏えいの被害を根本的に減らせる。

パスワードを使わずに、生体認証やセキュリティキーなどを用いて安全に認証する仕組み。FIDO Allianceが策定した規格で、端末側で本人確認を行い、その結果のみをサーバに送信する。パスワード漏えいのリスクを根本的に排除する。

パスワードを使わずに本人を確かめる認証方式で、FIDOアライアンスが策定したFIDOが代表的な規格である。端末上の生体認証やPIN、セキュリティキーで利用者を確かめ、端末に保管した秘密鍵で署名した応答をサーバが公開鍵で検証するので、パスワードがネットワークを流れず、フィッシングにも強い。規格には、生体認証などでログインするFIDO UAF、2要素目のセキュリティキーに使うFIDO U2F、WebAuthnとCTAPから成るFIDO2がある。

パスワードを使わず、端末内の秘密鍵と生体情報やPINの組合せで本人確認を行う認証方式。FIDO UAF/U2F、FIDO2/WebAuthn、パスキーが代表例で、サーバ側に秘密情報を置かないためフィッシングやリスト型攻撃に強い。

パスワードを使わずに本人を確認する認証方式。生体認証やPINで端末の認証器のロックを解除し、端末に保管した秘密鍵で署名を作成するFIDO2（パスキー）などが代表で、パスワードの漏えいや使い回し、フィッシングによる被害を防げる。

パスワードを使わずに安全なオンライン認証を行うためのFIDOアライアンスの規格で、W3CのWebAuthnと、認証器と端末の間の通信を定めるCTAPから成る。利用者の端末に保管した秘密鍵で署名を作成し、サービス側は登録された公開鍵で検証するため、サーバからパスワードが漏えいする心配がなく、フィッシングにも強い。

平文を暗号アルゴリズムと鍵を使って、第三者が読めない暗号文に変換し、機密性を確保すること。元に戻す処理を復号という。方式には共通鍵暗号方式と公開鍵暗号方式があり、TLSやIPsecは、処理の速い共通鍵暗号で通信データを暗号化し、その鍵の共有に公開鍵暗号やDiffie-Hellman鍵交換を使う。

Webブラウザから認証器を使って、公開鍵暗号によるパスワードレス認証を行うためのJavaScriptのAPIを定めたW3Cの標準で、FIDO2を構成する仕様の一つ。Webサイトは登録時に認証器が生成した公開鍵を受け取って保存し、ログイン時には、サーバが発行したチャレンジに認証器が秘密鍵で署名した結果を検証する。署名の対象にWebサイトのオリジンが含まれるので、偽サイトに中継されても認証が成立しない。