パスワードがなくなる日は来るのか。パスキーの仕組みを調べてみた

こんにちは。まなぶです。
ふだんはシステムエンジニアをしながら、noteの記事を書いています。
前回の記事「AIチップの話題は"性能"から"誰が握るか"へ。半導体規制の動きをビジネス視点で整理してみた」を読んでくださった方、ありがとうございます。

正直なところ、ログイン画面に出てくる「パスキーを使用」という案内を、何度も無視してきました。パスワードを入力するほうが慣れていて、「よくわからないボタン」を押すのが少し怖かったからです。

今回は、そのパスキーの仕組みを、自分なりに調べてみます。

パスキーは「合言葉」ではなく「鍵」だった

パスワードは、自分とサービスの両方が同じ「合言葉」を覚えている仕組みです。だから、どちらかから漏れると、他人に使われてしまいます。

パスキーはこれとは仕組みが違います。スマホやパソコンの中に、自分専用の「秘密の鍵」が作られ、サービス側にはそれと対になる「公開用の鍵」だけが渡されます。ログインするときは、指紋や顔認証で本人確認をしたうえで、端末の中の鍵を使って「本人である証拠」を作り、それをサービスに送ります。秘密の鍵そのものは、一度も端末の外に出ません。

Apple・Google・Microsoftなど主要な会社が、FIDO2という共通の規格でこの仕組みをそろえているので、どのサービスでも似た操作感で使えるようになっています。

パスワードより安全と言われる理由

パスキーが安全とされる理由は、主に2つあります。

1つは、サービス側のデータが漏れても、秘密の鍵自体は盗まれないことです。サービスが保管しているのは「公開用の鍵」だけなので、たとえ情報漏えいが起きても、それだけでは他人がログインできません。

もう1つは、偽サイトでは機能しないことです。パスキーは「どのサイト用の鍵か」を端末側が覚えているので、本物そっくりの偽サイトにアクセスしても、鍵が反応しません。パスワードのように、うっかり偽サイトに入力してしまう、ということが起きにくい仕組みです。

指紋や顔認証は、あくまで「この端末を今使っているのが本人か」を確認するための鍵で、この部分が破られても、鍵そのものが外部に送られることはありません。

実際どれくらい使われているのか

FIDO Allianceが2026年に発表した調査（世界10か国、消費者11,000人・企業の意思決定者1,400人が対象）によると、パスキーの認知度は90%に達し、2025年の75%から大きく伸びています。実際に何らかのアカウントでパスキーを有効にしたことがある人は75%、日常的に使っている人も49%いるとのことで、世界で使われているパスキーの数は50億個にのぼるそうです。

企業の現場でも動きがあります。Microsoftは、法人向けの認証サービス「Microsoft Entra ID」で、2026年7月からパスキーを既定の認証方法にし、2027年2月にはSMS・音声による認証の提供を終了すると発表しました。これはあくまで法人向けサービスの話ですが、「そのうち無くなる技術」ではなく、むしろ主役になりつつある、ということのようです。

まとめ：パスキーは「覚える」から「持つ」への変化

• パスキーは、パスワードのような「合言葉」ではなく、端末に保管される「鍵」の仕組み

• サービス側の情報漏えいや偽サイトに強いのは、秘密の鍵が端末の外に出ないから

• 2026年時点で、世界の認知度は90%、実際に使っている人も半数近くにのぼる

「よくわからないボタン」を避け続けていましたが、仕組みを知ると、次にログイン画面で見かけたときは試してみようという気になりました。

※パスキーの対応状況はサービスごとに差があります。実際に設定する際は、各サービスの案内を確認してください。

最後まで読んでいただき、ありがとうございました。

「パスキーでログイン」のボタン、押したことはありますか？ 「もう使っている」「見たことはある」など、ひと言でもコメントで教えてもらえるとうれしいです。