パスキー入門 ─ パスワードに代わる、安全で簡単なログイン方法

「パスワードを覚えきれない」「使い回しが危ないとわかっていても管理しきれない」── そんな悩みを抱えていませんか？

従業員の個人情報を扱う人事労務の現場では、セキュリティ対策は避けて通れないテーマです。本記事では、パスワードに代わる新しいログイン方法 「パスキー」 について、専門知識がなくてもわかるようにやさしく解説します。

パスキーとは、パスワードの代わりになる、より安全で簡単なログイン手段です。

パスキーを使うことで、パスワードを入力する代わりに、普段お使いのスマートフォンの 顔認証 や 指紋認証、パソコンの PINコード でサービスにログインできるようになります。

スマートフォンのロックを解除するのと同じ感覚で、サービスにログインできると考えるとイメージがしやすいかもしれません。

パスキーでは、複雑な文字列を記憶する必要がありません。普段お使いのデバイスの指紋認証・顔認証・PINコードなど、いつものロック解除と同じ方法でログインできます。

「パスワードを忘れてリセットする」というストレスから解放されます。

多くのサービスでは、パスワードに加えてワンタイムパスワードやSMS認証などの「2段階認証」が求められます。セキュリティのためとはいえ、毎回コードを入力するのは手間になります。

パスキーは、「自分のデバイスを持っていること」と「指紋やPINで本人であること」を同時に確認する仕組みのため、パスキー自体が2段階認証の条件を満たしています。そのため、多くのサービスでは追加のコード入力がスキップされます。

パスキーの最大の特長は、偽サイトではログインできない仕組みになっていることです（詳しくは後述します）。

パスキーが注目されている背景には、現在広く使われているパスワードや2段階認証に弱点があるためです。

パスワードには、主に以下のような問題があります。

• 使い回しのリスク：同じパスワードを複数のサービスで使っていると、1つのサービスから情報が流出した際に、他のサービスにも不正ログインされる恐れがあります。
• 管理の負担：サービスごとに異なるパスワードを設定するのが理想ですが、それらをすべて記憶・管理するのは大きな負担になります。
• 短いパスワードの危険性：短く単純なパスワードは、攻撃者がすべての組み合わせを試す「総当たり攻撃」で突破されてしまう可能性があります。

これらの問題はパスワード管理ツールを使うことで軽減できますが、それでも「フィッシング詐欺」には対処しきれません。

パスワード管理ツールの自動入力機能は、一般的に偽サイトでは動作しないとされています。一方で、偽サイトだと気づかずに、手動でパスワードをコピー＆入力してしまうケースも起こり得ます。

2段階認証を設定していれば安心と思われがちですが、実は万能ではありません。

• SMSの乗っ取り：攻撃者が携帯電話会社を騙して電話番号を奪い取る「SIMスワップ」と呼ばれる手口により、SMS認証が突破されるケースが報告されています。
• リアルタイム型のフィッシング詐欺：偽サイトに入力されたワンタイムパスワードを、攻撃者がその場で本物のサイトに入力して不正ログインする手口も登場しています。

つまり、パスワード＋2段階認証という現在主流の方法でも、フィッシング詐欺を完全に防ぐことは難しいのが実情です。

パスキーは、こうした従来の認証方式の課題を解決するために生まれた仕組みです。

パスキーの大きな特長をまとめると、次の3つです。

1. 覚えるものがない：パスワードのように文字列を記憶する必要がありません。
2. 使い回しができない：パスキーはサービスごとに固有のものが作られるため、使い回しが起きません。
3. 偽サイトでは使えない：パスキーは登録したサイトと技術的に紐づいているため、偽サイトでは認証が動作しません。もしパスキーが使えない場合、それ自体が「このサイトは偽物かもしれない」というサインになります。

SmartHRでパスキーを登録する方法を解説します。パスキーは、お使いのデバイスやパスワードマネージャーに保存されます。

保存先の例としては、以下のようなものがあります。

• iCloudキーチェーン（Apple端末をお使いの場合）
• Googleパスワードマネージャー（Android / Chromeをお使いの場合）
• Windows Hello（Windows端末をお使いの場合）
• 1Passwordなどのパスワードマネージャー（別途導入している場合）

以下では、一般的な登録の流れを解説します。お使いの環境によって表示される画面が異なりますが、基本的な手順は同じです。

SmartHRにログイン後、ヘッダーに表示されている自分のアイコンをクリックして、個人設定を開きます。

個人設定画面のサイドバーにある「パスキー」を開きます。

パスキー一覧画面にある「パスキーを登録」ボタンを押したあと、表示される確認画面の登録ボタンを押します。

登録ボタンをクリックすると、パスキーの保存先を選択する画面が表示されます。お使いの環境に応じて、iCloudキーチェーン・Googleパスワードマネージャー・Windows Hello・1Passwordなどのパスワードマネージャーから保存先を選択し、画面の案内に従って保存を完了してください。

以下のように登録完了のNotificationが表示されていたら、正常にパスキーが登録できています。

登録したパスキーを使ってSmartHRにログインする方法を解説します。

ログイン画面を開き、「パスキーでログイン」ボタンを押下します。

パスキーの保存先に応じた案内画面が表示されます。ログインしたいアカウントを選んで認証（指紋認証・顔認証・PINコードなど）を行うと、ログインが完了します。