Amazonでパスキーを設定した直後、スマホのパターン入力だけでログインが終わる。あまりに一瞬なので、逆に「これ本当に安全なの？」と不安になった人は多いです。
今まではメールアドレスを打って、複雑なパスワードを打って、やっとログインでした。それが指をなぞるだけで終わる。手抜きになった気がして、落ち着かない気持ちになるのも分かります。
この記事では、パスキーが実際どういう仕組みで動いているのかを整理します。そのうえで、Amazonなどで今すぐ見ておいたほうがいい設定も並べます。パスワードを残すべきかどうかの判断材料にもなるはずです。
パスキーが「簡単すぎて不安」に感じる理由
よくあるのはこんな場面です。Amazonのログイン画面を開くと、いきなりスマホ側に「本人確認」の表示が出る。指紋を当てるか、パターンをなぞる。それだけで注文履歴まで開けてしまう。パスワードを一文字も打っていないのに、です。
ここで拍子抜けするのは自然だと思います。私たちは長いあいだ「複雑なパスワード＝安全」という感覚で育ってきました。記号を混ぜて、大文字を入れて、12文字以上にする。あの面倒くささが安全の代金みたいに感じていたわけです。だから面倒がなくなると、代金を払っていない気分になる。
ただ、ここには大きな勘違いが1つあります。画面に出ている指紋やパターンは、認証そのものではありません。あれはスマホのロックを解除する操作です。ログインの中身は、その裏で別に動いている。
つまり不安の正体は「危ないから」ではなく「仕組みが見えないから」になる。見えない部分を先に見てしまえば、モヤモヤはだいぶ減ります。
パスキーの正体は公開鍵暗号方式。生体認証そのものではない
パスキーは公開鍵暗号方式（鍵を2つに分けて使う暗号の仕組み）で動いています。ここが一番の要点です。
パスキーを作ると、鍵が2つできます。1つは秘密鍵で、これはあなたのスマホやPCの中だけに保存される。もう1つは公開鍵で、こちらはAmazonなどのサービス側に預けられます。公開鍵は名前のとおり、他人に見られても困らない鍵になる。
ログインするとき、サービスは「この文字列に署名して返して」とデバイスに問いかけます。デバイスは中の秘密鍵で署名を作り、送り返す。サービスは預かっている公開鍵で、その署名が本物か確かめる。合っていればログイン成立です。秘密鍵そのものはネットに流れません。
では指紋やパターンは何なのか。あれは「秘密鍵を使っていいよ」という許可を出すためのデバイスロックの解除です。スマホの持ち主本人かどうかを、端末が自分で確かめている。指紋の画像や顔のデータがAmazonに送られることはありません。生体情報はデバイスの外に出ない仕組みになっています。
この仕組みにはFIDO2やWebAuthnという規格名がついています。ブラウザやOSがまとめて対応しているので、AppleでもGoogleでもMicrosoftでも同じ考え方で動く。個人的には、操作の簡単さと中身の強さが完全に別の話だと分かった時点で、不安がだいぶ整理されました。
フィッシング耐性という、パスワードになかった強さ
パスキーにはもう1つ、パスワードが持っていなかった強みがあります。フィッシング耐性（偽サイトにだまされにくい性質）です。
パスキーは、登録したサイトのドメイン（アドレスの持ち主を示す部分）と結び付いています。だからアドレスが1文字違う偽サイトを開いても、そのパスキーは呼び出されない。人間が見抜けなくても、機械の側で噛み合わなくなる。
一方でパスワードは、本人が手で打ち込めてしまいます。偽のAmazon画面だと気づかず入力したら、そこで終わりです。この「本人がうっかり渡せてしまう」という点が、パスワードの構造的な弱さになる。
- 入力する文字がないので、後ろから覗かれても盗まれない
- 使い回しが起きない。サービスごとに別の鍵が作られる
- サービス側から情報が漏れても、出てくるのは公開鍵だけ。それでは成りすませない
- 偽サイトではそもそもパスキーの画面が出てこない
よくある誤解を先に外しておく
- 「生体情報がサーバーに送られる」…誤解です。指紋も顔も端末の中に留まります
- 「パスキー＝生体認証のこと」…誤解です。生体認証は鍵を取り出す許可の出し方の1つにすぎません
- 「設定すればパスワードは無効になる」…多くのサービスでは、パスワードは残ったままになります
- 「パスキーにしたから端末のロックは適当でいい」…逆です。ロックが土台になります
3つ目は特に見落としがちなところです。パスキーを追加しただけだと、古いパスワードでのログインも生き続けている。攻撃する側は当然、弱いほうを狙います。せっかく強い入口を作っても、横に古いドアが開いていたら意味が薄くなる。
4つ目もセットで考えたい。秘密鍵を取り出す許可を出すのは、端末のPINやパターンです。そこが「1111」や単純ななぞり方だと、拾われた端末で解かれる。パスキーの強さは、デバイスロックの強さの上に乗っています。
Amazonなどで今すぐ見ておく設定4つ
やることはシンプルで、4つだけです。順番に見ていくと5分ほどで終わります。
- Amazonのログインとセキュリティを開き、パスキーが登録済みになっているか確認する
- 同じ画面に、パスワードでのログインを無効にするオプションがあるか確認する。対応状況はサービスごとに違います
- スマホとPCの画面ロック設定を見直す。単純なパターンや誕生日のままにしない
- iCloudキーチェーン、またはGoogleパスワードマネージャーでパスキーの同期がオンか確認する
4つ目の同期は、意外と大事なところです。同期がオンなら、パスキーは同じアカウントの他の端末にも共有されます。機種変更したときも、新しい端末で同じようにログインできる。端末を落として1台失っても、手元にログイン手段が残る形になります。
逆に同期をオフにして1台だけに保存していると、その端末が壊れたときに困る。その場合はメールでの本人確認など、サービス側の復旧手続きを踏むことになります。
結局、パスキーとパスワードのどちらで運用するか
判断はわりと単純です。パスワードを無効にできるサービスなら、無効にしたほうが狙われる入口が減る。パスキーだけにしておけば、偽サイトで抜かれる文字列そのものが存在しなくなります。
無効化に対応していないサービスでも、パスキーを入れる意味はあります。日々のログインがパスキーで済むぶん、パスワードを打つ回数が減る。打つ機会が減れば、偽サイトに入力してしまう場面も減ります。
パスワードを残すなら、最低限やることは1つです。使い回しをやめる。他のサービスと同じ文字列を置いたままだと、どこか1か所の漏えいが全部に波及します。パスワード管理アプリに任せて、サービスごとにバラバラの文字列にしておけば十分です。
なお、各サービスがパスワード入力を完全に廃止する時期は公表されていません。しばらくは併用の期間が続きます。
まとめ
不安の理由は「簡単になったこと」でしたが、簡単さと強さは別々に決まっています。中身を知ってしまえば、指をなぞるだけの操作にも納得がいくはずです。
- 結論：パスキーは公開鍵暗号方式で動いていて、操作が簡単なこととセキュリティの強さは別物です
- 結論：指紋やパターンはデバイスロックの解除で、生体情報はサーバーに送られない
- 次にやること：Amazonの「ログインとセキュリティ」でパスキーの状態と、パスワード無効化の可否を見る
- 次にやること：スマホとPCの画面ロックを見直し、パスキーの同期設定がオンかを確認する
- 覚えておくこと：パスキーは登録したドメインでしか反応しないので、偽サイトでは動かない
まずはAmazonの「ログインとセキュリティ」を開いて、パスキーの登録状況とデバイスロックの強さ、この2つを並べて見るところからです。
