なぜ「パスキー」はセキュリティに強いのか？

Last updated at 2025-07-20Posted at 2025-06-23

〜仕組みと処理フローから読み解く、現実的にハッキング不可能な理由〜

　
つい最近、ForbesJapanでGoogleがユーザーへ認証方式をパスキーへ移行するよう推奨しているという記事を見て、改めて調べてみました。

「パスキー（Passkey）」は、Apple・Google・Microsoftなどが推進する次世代の認証方式で、従来のパスワードによるログインを根本から置き換えるものです。

などのメリットがよく語られますが、この記事では特に 「なぜセキュリティに強いのか」 を重点的に、実際の処理フローと合わせてわかりやすく解説します。

パスキーは、「公開鍵暗号方式」を使った認証手段です。
ユーザーがサービスにアカウントを登録する際に、以下のような鍵ペアが生成されます：

✅ 秘密鍵は絶対に外部に出ないのが大前提です。

以下に、ユーザーがログインする際の一般的な処理フローを説明します。

最大の強みはここです。
秘密鍵はユーザーのスマホやPCのセキュア領域（例：Secure Enclave / TPM）に保存され、外部には一切出ません。

各OS毎の保存される領域は以下の表を参考にしてください。

これらの領域では：

つまり、秘密鍵は「ただの文字列」としてすら取得できない構造になっています。

ほとんどのパスキー対応デバイスでは、秘密鍵へのアクセスに生体認証が必要です。
つまり、デバイスを盗まれても、指紋や顔認証を突破しない限り使えません。

パスワードのように「知識」ではなく、「本人の身体」を使った認証です。

フィッシングサイトは「見た目だけ本物」ですが、パスキーはドメイン単位で公開鍵を識別しています。
つまり：

これにより、パスワードを盗む系の攻撃は通用しません。

明確に優れています。
ポイントになるのは「認証に使える秘密鍵を持っているデバイスが本人の手元にある」という事実そのものであり、パスワードとは決定的に違うセキュリティ保証になります。

生体認証は、以下の点で最適です：

しかし、あくまで秘密鍵へのアクセスを制限するための“トリガーの1つ”であり、それがPINやパスワードで代替されたとしても、「秘密鍵を持っている端末が必要」という物理的な制約が最重要ポイントです。

例えば「ネットカフェのPCから自分のGoogleアカウントにログインしたい」とします。
このPCにはあなたの秘密鍵はありません。でもログインは可能です。

この仕組みを クロスデバイス認証 と呼びます。

🔐 秘密鍵は常に「あなたのデバイスの中」だけに存在しており、
リモートで安全に署名処理が可能になります。