2026/11/11ITの基礎知識

パスキーとは？パスワードとの違いを鍵と錠前で解説

シリーズ「ネットワークの基本」の5回目です。最近、銀行や通販、大手のIT企業のサービスにログインすると、「パスキーを作成しますか」と聞かれることが増えました。パスキーは、パスワードの代わりに使える新しいログインの方法です。前回の認証と認可の回で、本人を確かめる「認証」について説明しました。今回は、その認証をより安全にするパスキーの仕組みを、パスワードと比べながら図解します。

パスワードの弱点は「同じ秘密を相手にも預けている」こと

パスワードでログインするとき、私たちは自分だけが知っている文字列を入力し、それをサービスの側に送っています。サービスの側も、照合するためにパスワードの情報を保管しています。つまり、秘密を自分と相手の両方が持っている状態です。このため、パスワードは次のような形で盗まれることがあります。

本物そっくりの偽サイトに入力してしまう（フィッシング）
サービスの側から情報が漏れる
同じパスワードを使い回していて、別のサービスから漏れたものを試される
短い、推測しやすいパスワードを当てられる

どれも「秘密の文字列が相手に渡ってしまえば、誰でもログインできる」という、パスワードの性質から来ています。

パスキーは「鍵」と「錠前」を分けて持つ

パスキーでは、文字列の秘密を送りません。代わりに、ペアになった2つの情報を使います。1つは自分の端末の中だけに保管される「秘密の鍵」、もう1つはサービスの側に預ける「錠前」のようなものです。

ログインのとき、サービスは毎回違う問題を端末に送ります。端末は秘密の鍵でその問題に「署名」して返し、サービスは預かっている錠前で、その署名が正しいかを確かめます。秘密の鍵そのものは、端末の外に一度も出ません。

錠前は、たとえ盗まれても、それだけでは扉を開けられません。サービスの側から錠前の情報が漏れても、ログインには使えないのが、パスキーの大きな特長です。

パスワードは秘密の文字列を相手に送り、パスキーは端末の秘密の鍵で署名した答えだけを返す違いを示す図

指紋や顔は何に使われているのか

パスキーを使うとき、指紋や顔、パソコンの暗証番号の入力を求められます。これは、端末の中の秘密の鍵を使ってよいかを、持ち主本人に確かめるためのものです。指紋や顔の情報がサービスに送られるわけではありません。前回の3つの要素で言えば、「持っているもの（端末）」と「本人の体または知っているもの」を、1回の操作で組み合わせていることになります。

偽サイトに強い理由

パスキーは、作成したときのサイトの名前（ドメイン名）と結び付けて保管されます。偽サイトは、見た目を本物にそっくり似せることはできても、ドメイン名までは同じにできません。そのため、偽サイトでログインしようとしても、端末はそのサイト用のパスキーを持っていないので、そもそも反応しません。

パスワードの場合は、人が見た目にだまされて入力してしまえば終わりです。パスキーでは、確かめる役目を人ではなく端末が担うので、うっかりだまされることが起きにくくなります。ドメイン名の仕組みについては、DNSの回で詳しく説明しています。

パソコンで確かめる：保存されているパスキーを見る

Windows 11では、パソコンに保存されているパスキーを、設定画面で確認できます。

スタートボタンから「設定」を開く
「アカウント」を選ぶ
「パスキー」を選ぶと、保存されているパスキーがサイトごとに一覧で表示されます

使わなくなったサービスのパスキーは、ここから削除することもできます。表示される名前や場所は、Windowsの版によって異なる場合があります。スマートフォンやブラウザの中に保存したパスキーは、それぞれの設定画面や、パスワードを管理する画面で確認します。

使うときに気をつけたいこと

パスキーは便利で安全な仕組みですが、使い始める前に知っておきたい点もあります。

端末をなくしたときに備える

パスキーが1台の端末だけに入っていると、その端末を紛失したり故障したりしたときに、ログインできなくなるおそれがあります。複数の端末に登録しておく、サービスの復旧用の手段（予備のメールアドレスなど）を設定しておく、といった備えが大切です。同じ持ち主の端末どうしで、パスキーを同期できる仕組みもあります。