なぜ「パスキー」はセキュリティに強いのか？

Last updated at 2025-06-23Posted at 2025-06-23

〜仕組みと処理フローから読み解く、現実的にハッキング不可能な理由〜

　
つい最近、ForbesJapanでGoogleがユーザーへ認証方式をパスキーへ移行するよう推奨しているという記事を見て、改めて調べてみました。

「パスキー（Passkey）」は、Apple・Google・Microsoftなどが推進する次世代の認証方式で、従来のパスワードによるログインを根本から置き換えるものです。

などのメリットがよく語られますが、この記事では特に 「なぜセキュリティに強いのか」 を重点的に、実際の処理フローと合わせてわかりやすく解説します。

パスキーは、「公開鍵暗号方式」を使った認証手段です。
ユーザーがサービスにアカウントを登録する際に、以下のような鍵ペアが生成されます：

✅ 秘密鍵は絶対に外部に出ないのが大前提です。

以下に、ユーザーがログインする際の一般的な処理フローを説明します。

最大の強みはここです。
秘密鍵はユーザーのスマホやPCのセキュア領域（例：Secure Enclave / TPM）に保存され、外部には一切出ません。

🔓 仮にサーバーがハッキングされても「秘密鍵がない」ため、なりすましログインは不可能です。

ほとんどのパスキー対応デバイスでは、秘密鍵へのアクセスに生体認証が必要です。
つまり、デバイスを盗まれても、指紋や顔認証を突破しない限り使えません。

🧠 パスワードのように「知識」ではなく、「本人の身体」を使った認証です。

フィッシングサイトは「見た目だけ本物」ですが、パスキーはドメイン単位で公開鍵を識別しています。
つまり：

📛 これにより、パスワードを盗む系の攻撃は通用しません。

例えば「ネットカフェのPCから自分のGoogleアカウントにログインしたい」とします。
このPCにはあなたの秘密鍵はありません。でもログインは可能です。

この仕組みを クロスデバイス認証 と呼びます。

🔐 秘密鍵は常に「あなたのデバイスの中」だけに存在しており、
リモートで安全に署名処理が可能になります。