ITパスポート 試験情報＆徹底解説

ユーザーがシステムやサービスにログインする際に、従来のような文字列のパスワードを入力することなく、他の手段によって本人確認を行う認証方法である。近年では、パスワードの使い回しや推測されやすい文字列の使用による情報漏えいリスクが問題となっており、その対策として注目を集めている。

この分野で代表的な技術として、FIDO2（Fast IDentity Online）がある。FIDO2は、パスワードレス認証を実現するための国際標準規格であり、公開鍵暗号方式を基盤としている。

【利用者の初回登録時】
利用者のデバイスが公開鍵と秘密鍵を生成し、公開鍵はWebサービスへ送信されて登録される。一方、秘密鍵はデバイス内に安全に保持される（この秘密鍵と公開鍵のペアは「パスキー」と呼ばれる）。

【認証時】

1. Webサービスが乱数（チャレンジと呼ばれる）を利用者に送信する
2. 利用者は、生体認証などにより自身のデバイス内の秘密鍵を使用可能とし、その秘密鍵とWebサービスから送られてきた乱数を用いて電子署名を行い、Webサービスに返送する
3. Webサービスは、その署名を登録済みの公開鍵で照合し、本人確認を行う

一般的に"顔"や"指紋"などの生体情報は個人情報であり、外部に送信されるべきではない。そのため、FIDO2では、生体認証等は利用者のデバイス内に保管された秘密鍵を使用するためのローカルな認証手段とし、通信経路上やサービス側に認証情報が流れることはない。