パスキー vs パスワード：ログインを置き換えるもの

パスキーは、デバイス上で生成される暗号鍵のペアでパスワードを置き換える仕組みです。入力するものは何もなく、企業のデータベースにハッカーが狙う情報も残りません。Face ID、Touch ID、またはデバイスのパスコードで解除すれば、それだけでログインが完了します。

2026年、パスキーを求めるログイン画面は毎月増えています。銀行、メール、ゲームのアカウントまで。本当に安全なのか、それとも「このデバイスを信頼する」という仕組みの新しい呼び方に過ぎないのか。ここではパスキーとは何か、iPhoneでどう機能するか、パスワードにはできない攻撃への耐性、そして残っている弱点を解説します。

パスキーとは

パスキーは見えないパスワードではありません。まったく別の種類の認証情報です。デバイスは公開鍵と秘密鍵のペアを生成し、秘密鍵はデバイスの外に出ることはありません。公開鍵だけがウェブサイトに渡され、盗む価値のある秘密を持たないままあなたを認証できます。パスキー自体はおよそ100〜1,400バイトのランダムなデータで、サイトに求められても入力できるようなものではありません。

これは一社が発明したものではありません。パスキーはWebAuthnの上に成り立っており、2013年から開発が続くFIDO2標準の一部で、2019年にはW3C勧告になりました。Appleは2020年にこの基盤技術へのFace ID/Touch ID対応を追加し、2022年に一般向けにパスキーを展開しました。

実際の仕組み

iPhoneでパスキーを作成するのは、対応サイトで利用を選んだ瞬間です。デバイスは鍵ペアを生成し、秘密鍵をローカルに保持します。後でサインインするときは、Face IDやTouch IDがサーバーに漏れうる情報やキーロガーに捕捉されうる情報を一切送信せずに、その利用を許可します。写真ではなくログインに適用された、オンデバイス処理と同じ考え方です。パスキーはその後、エンドツーエンドで暗号化されブルートフォース対策も施されたiCloudキーチェーンを通じてApple製デバイス間で同期され、Apple Accountの認証情報が万一漏れても保護され続けます。

本当の強みはフィッシング耐性にあります。すべてのパスキーは作成されたドメインに厳密に紐づいているため、ブラウザは似せて作られた偽サイトにパスキーを渡すことはありません。これは、偽のログインページを使ってiCloudや写真を狙うフィッシングへの対策そのものです。パスワードは、それらしく見えるページになら入力できてしまいます。パスキーはそのようにだまされません。データ漏洩が起きても公開鍵しか流出せず、対応する秘密鍵がなければ無意味です。数字もこれを裏付けています。Microsoftはパスキーでのログイン成功率が約98%、パスワードでは約32%と報告しており、盗まれた認証情報が漏洩の大部分に関与する状況が続いています。

プライバシーにとっての意味

パスキーはリスクをなくすのではなく、移すものです。弱点は「誰かが推測できる秘密」ではなく「鍵を持つデバイスに誰がアクセスできるか」に変わります。デバイスを失えば、その復旧はサイト側(あるいは同期パスキーの場合はApple)がどれだけしっかりした復旧フローを用意しているかに左右されます。これは特定の状況でFace IDよりパスコードのほうがプライバシーに優れる場合とは違うトレードオフですが、根底にあるテーマは同じです。利便性と安全性は必ずしも同じ方向を向きません。

普及もまだ道半ばです。パスキーに未対応のサイトは多く、対応していても結局パスワードの設定を強制し、削除する手段がない場合もあります。同期の仕組みもエコシステムごとにばらばらで、Windows Helloはまったく同期せず、Google パスワードマネージャーはAndroid端末同士でしか同期せず、iCloudキーチェーンはApple製デバイス間に限られます。多くの人は、しばらくの間パスワードとパスキーを併用することになるでしょう。

重要なのはここです。パスキーが守るのはログインの方法だけです。ログインした後に起きることや、すでにスマートフォンに保存されているものについては何も守りません。

よくある質問

パスキーは完全にパスワードに取って代わるのですか？

まだです。パスキーに対応しているサイトの多くは、依然としてパスワードを予備の手段として残しています。しばらくは両方を使うことになるでしょう。最も安全なのは、対応しているところではパスキーを使い、それ以外では強く固有のパスワードを使うことです。

パスキーを保存したデバイスをなくしたらどうなりますか？

iPhoneでは、パスキーはエンドツーエンドで暗号化されたiCloudキーチェーンを通じて同期されるため、新しいデバイスはAppleのアカウント復旧フローを通じて復旧できます。同期済みの予備デバイスがない場合、復旧はそのサイト自体の手続きに依存します。重要なアカウントでは対応している限り複数のパスキーを登録しておく価値があります。

パスキーもパスワードのようにフィッシングされますか？

パスワードと同じようにはされません。パスキーは作成されたドメインに厳密に紐づいているため、ブラウザは偽サイトにそれを渡しません。残るリスクは、代わりに予備のパスワードを差し出させようとするソーシャルエンジニアリングです。

パスキーはAppleのサーバーに保存されますか？

いいえ。秘密鍵はデバイスやそのSecure Enclaveから外に出ることはありません。iCloudキーチェーンを通じて同期されるものはエンドツーエンドで暗号化されており、Apple自身も読み取ることはできません。

パスワードマネージャーとパスキーは同じものですか？

いいえ。パスワードマネージャーは、あなたが作成したテキストのパスワードを保存し自動入力します。パスキーはデバイス上で生成される暗号鍵のペアであり、最近では多くのパスワードマネージャーがパスワードと並べてパスキーも保存するようになっています。

Privaraでの対応

パスキーはログイン方法にとって確かな前進です。しかし、ログイン画面を通過した後にスマートフォンにすでに存在する写真、動画、書類、連絡先といった個人的なコンテンツには手が届きません。これは別の課題であり、パスキーを強くしているのと同じ「共有される秘密を持たず、デバイス上で守る」という考え方がふさわしいものです。

Privaraは、あなたの個人的な写真、動画、書類、連絡先を、電卓そのもののように見えて動作するひとつのAES-256暗号化ボールトの中に隠します。ボールトはあなたのPINでのみ開き、コンテンツは表示から隠すだけでなく保存時に暗号化されているため、誰かに見つけられるのを待つ共有された秘密はどこにもありません。アカウント登録は不要で、デフォルトでは何もアップロードされません。あなたのパスキーの秘密鍵がデバイスから出ないのと同じように、ローカルでゼロ知識のボールトです。PINの上にFace IDやTouch IDを重ねてロックでき、Privaraの侵入検知機能は間違ったコードを入力した相手の写真を撮影します。

ひとつのボールトに、写真・動画・書類・連絡先という4種類のコンテンツすべてを同じ方法で保護します。App StoreでPrivaraをダウンロードして、あなたのログインを守るのと同じ「デバイス上で完結する」発想を、大切に守りたいそのほかすべてのものにも役立ててください。