パスワードレス認証（FIDO、WebAuthn、Passkeys）
更新日:
用語解説
パスワードレス認証（FIDO、WebAuthn、パスキー）は、パスワードを使わずに、指紋や顔、端末のPINなどで安全にログインする技術です。
■ 試験で押さえるポイント
端末の中で生体認証などに成功すると、端末の中の秘密鍵でサーバからのチャレンジに署名します。
サーバには公開鍵だけを保存するため、サーバから漏れても悪用されにくくなります。
署名は正規のサイトに結び付いているため、偽のサイトではログインできず、フィッシングに強くなります。
■ 過去問での着眼点
生体情報は通常、認証器内での検証に使い、サービスへ送信しません。サービスは公開鍵で署名を検証します。秘密鍵の同期・保管方式はパスキーの種類によって異なります。
例: スマートフォンの指紋認証で、パスワードを入力せずにWebサービスにログインします。
■ RPとの結び付きと同期・回復の境界
WebAuthnの検証ではチャレンジ、origin、RP IDに対応するrpIdHash、署名、必要な利用者検証を確認する。指紋やPINは認証器を利用するためのローカル検証であり、生体情報をWebサービスへ送って認証する仕組みではない。
秘密鍵を端末に固定する認証器と、保護して複数端末へ同期するパスキーがある。同期型を含めて『秘密鍵は必ず端末の外へ出ない』とは断定せず、同期アカウントと端末追加・回復の保護も確認する。
フィッシング耐性があっても、ログイン後のセッション窃取、端末侵害、弱い代替ログインや回復手続は別の経路になる。紛失時は対象資格情報を失効させ、本人確認の上で新しい認証器を登録する。