パスキーとは

利用者のデバイスの中で作られる、公開鍵暗号の鍵ペアです。

パスキーを登録すると、デバイス（スマートフォン、PC、セキュリティキー）の中で「秘密鍵」と「公開鍵」のペアが生成されます。秘密鍵はデバイスの外に出ず、サービス側には公開鍵だけが保存されます。ログインのたびに、サービスが送ってきた使い捨ての「チャレンジ」に秘密鍵で署名し、サービスは公開鍵でその署名を検証します。

利用者から見ると、「指紋や顔をかざす」「PINを入力する」だけ。パスワードのように覚える・入力する・使い回す、という行為そのものがなくなります。

パスキーには「登録（Registration）」と「認証（Authentication）」の2つの流れがあります。どちらも、サービス側（RP: Relying Party）がチャレンジを発行し、デバイス側が本人確認のうえで応答し、サービス側が検証する、という構造は同じです。以下は Quado を使った場合の登場人物で描いています。

トップページのシステム構成で、お客様のシステムと Quado の位置づけを図解しています。

このほか、スマートフォンに保存したパスキーで PC のブラウザにログインする「クロスデバイス認証」（QRコードを読み取り、Bluetooth で近接を確認する方式）も標準化されており、パスキーを持たないデバイスからも安全にログインできます。

どの種類を受け入れるかは、サービス側（RP）が登録時のオプションで制御できます。Quado は認証器から返るアテステーションや登録時の属性をもとに、ポリシーに応じた受け入れ判定を行えます。

FIDO（ファイド）

Fast IDentity Online。パスワードに依存しない認証の標準化を進める業界団体 FIDO Alliance、およびその規格群の総称。

FIDO2

FIDO Alliance の最新世代の規格セット。ブラウザ向けの WebAuthn と、認証器とクライアントの間の CTAP の2つで構成されます。

WebAuthn

Web Authentication。W3C が標準化したブラウザの API。navigator.credentials.create() / get() で認証器を呼び出します。主要ブラウザが対応済み。

CTAP

Client to Authenticator Protocol。PC やスマートフォンと、外部の認証器（セキュリティキーやスマートフォン）が USB / NFC / Bluetooth でやり取りするためのプロトコル。

パスキー（Passkey）

FIDO2 / WebAuthn の認証資格情報（クレデンシャル）を指す、利用者向けの呼び名。2022年以降、Apple・Google・Microsoft が共通の名称として採用しました。技術的には「発見可能なクレデンシャル（discoverable credential）」を指すことが多い用語です。

認証器（Authenticator）

鍵ペアを生成・保管し、本人確認と署名を行う装置やソフトウェア。デバイス内蔵の「プラットフォーム認証器」（Touch ID、Windows Hello など）と、外付けの「ローミング認証器」（セキュリティキーなど）があります。

RP（Relying Party）

パスキーで利用者を認証するサービス側のこと。本ページでは「お客様のシステム」。RP の識別子（RP ID）はドメイン名で、パスキーはこの RP ID に紐づきます。

UAF / U2F

FIDO2 以前の規格。UAF はモバイルアプリ向けのパスワードレス認証、U2F はセキュリティキーによる二要素認証。Quado は FIDO2 に加えてこの2つにも対応しています。

パスキー対応は「ブラウザの API を呼ぶだけ」で終わりません。サービス側には、FIDO プロトコルを正しく処理するサーバが必要です。

1. 1

   画面側：WebAuthn の呼び出し

   ログイン画面・登録画面から WebAuthn API を呼び、認証器とやり取りする部分。各ブラウザ・OS が標準で提供しています。

2. 2

   サーバ側：FIDO サーバ

   チャレンジの発行と管理、アテステーション・署名の検証、公開鍵と署名カウンタの保管、認証器の受け入れポリシー。ここが最も実装・維持の難しい部分で、Quado が担う領域です。

3. 3

   設計：導線とリカバリー

   既存の ID / パスワードとの併用、複数デバイスの登録、デバイス紛失時の復旧手段、対象とする認証器の範囲。技術よりも、ここが導入の成否を分けます。

Quado は FIDO Alliance の Universal Server 認定（FIDO2 / UAF / U2F）を取得した FIDO サーバパッケージで、お客様のオンプレミス環境や VPC 内に配置できます。既存システムからは登録・認証の REST API を呼び出すだけで、パスキーを導入できます。