FIDO2は、パスワードを使わずに安全にログインできる認証のオープン標準です。公開鍵暗号方式とデバイスの生体認証・PINを組み合わせ、フィッシングに強い仕組みを実現します。本記事では、FIDO2の仕組みからパスキーとの関係、導入動向までを解説します。

FIDO2とは

FIDO2(ファイドツー)とは、パスワードレス認証の普及を推進する業界団体「FIDO Alliance」が2018年に発表した認証技術のオープン標準です。従来のパスワード認証とは異なり、指紋認証・顔認証・PINといったデバイス側の本人確認と、公開鍵暗号方式を組み合わせることで、パスワードを使わずに安全なログインを実現します。

FIDO2は、Microsoft、Google、Appleをはじめとする大手IT企業が参加するFIDO Allianceによって仕様が策定されており、Google、Yahoo! JAPAN、Dropbox、Facebookなど多くの大手サービスがすでに対応しています。

FIDO2とパスキーの関係

パスキーとは、公開鍵暗号を使って作成されるFIDO2のサインイン資格情報です。デバイス側で生成される「秘密鍵」と、サービス側に登録される「公開鍵」のペアによって本人確認を行います。パスワードの効果的な代替手段として、セキュリティを強化しつつ、サービスへのサインインを従来より使いやすくします。

パスキーは単一のデバイスに紐づく場合もあれば、クラウドサービスを介して同じユーザーの複数デバイス間で自動的に同期される場合もあります。

公開鍵・秘密鍵とは？仕組みをイラストと例え話で初心者に分かりやすく解説

2021.6.16

「公開鍵・秘密鍵ってよく聞くけど、結局何のこと？」「共通鍵暗号方式と公開鍵暗号方式って何が違うの？」そんな疑問を持つ方も多いのではないでしょうか。 公開鍵・秘密鍵は、インターネット上の安全な通信を支える暗号技術の核心です。本記事では、

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

FIDO2の構成要素

FIDO2は、主に以下の要素から構成されています。

クライアント(ユーザーのデバイス)

ユーザーが直接操作するデバイスです。スマートフォンやパソコンなどが該当し、秘密鍵の生成・保管や、生体認証・PINによる本人確認を行います。

サーバー(FIDOサーバー含む)

ユーザーがアクセスするWebサイトやアプリケーションをホスティングするサーバーです。FIDOプロトコルに準拠した認証を行うための「FIDOサーバー」が、認証器からの認証情報を検証し、結果をホスティングサーバーに伝えます。

認証器(Authenticator)

ユーザーの身元を確認するためにクライアントに付随するデバイスやソフトウェアです。認証器には大きく2種類あります。ローミング(クロスプラットフォーム)認証子は、セキュリティキーやスマートフォンなど、クライアントデバイスとは別のポータブルなハードウェアです。

プラットフォーム(バインド)認証子は、Windows Hello、Apple Touch ID/Face ID、Android指紋認証のように、クライアントデバイス自体に組み込まれています。

FIDO2の認証フロー

登録時の流れ

サービスに登録する際、ユーザーは対応しているFIDO認証方法のいずれかを選択します。PINの入力や指紋読み取りなど、簡単なジェスチャーで認証子を起動すると、デバイス・アカウント・サービスに固有の秘密鍵と公開鍵のペアが生成されます。秘密鍵はローカルデバイスに安全に保存され、公開鍵のみがサービス側の認証サーバーに登録されます。

サインイン時の流れ

サービスは、ユーザーがいることを確認するための暗号チャレンジを発行します。ユーザーが登録時と同じ認証ジェスチャーを行うと、デバイスはローカルに保存された秘密鍵でチャレンジに署名し、サービスへ返送します。サービスは登録済みの公開鍵を使って署名を検証し、正しければログインが完了します。

FIDO U2F・FIDO UAFとの違い

FIDO2は、2014年にリリースされた最初のFIDO認証仕様(FIDO U2F・FIDO UAF)を発展させたものです。

FIDO U2Fは、既存のパスワード認証に専用デバイス(セキュリティキー等)による第2要素を追加する規格です。FIDO UAFは、専用デバイスを使った生体認証によりパスワードレスを実現しますが、専用デバイスへの登録が前提となります。

FIDO2は、スマートフォンやPCに標準搭載された機能をそのまま利用できるため、専用デバイスなしでパスワードレス認証を実現できる点が大きな違いです。

FIDO2を利用するメリット

セキュリティの強化

FIDO2パスワードレス認証では、一意のパスキーに依拠することでログインのセキュリティを大幅に強化できます。秘密鍵がユーザーのデバイスから外部に出ることがなく、サービスごとに異なるキーペアが生成されるため、フィッシング詐欺で偽サイトに情報を入力してしまうリスクそのものが構造的になくなります。

ユーザープライバシーの強化

秘密鍵と生体認証データはユーザーのデバイス上に安全に保存され、サービス側には公開鍵のみが渡ります。そのため、サーバーが攻撃を受けても認証情報自体が漏洩することはありません。

使いやすさの向上

指紋や顔認証、PINといった簡単な操作でログインが完了するため、パスワードの作成・記憶・管理・再設定に伴う手間から解放されます。

FIDO2のデメリット・導入時の課題

すべてのデバイスやブラウザがFIDO2に対応しているわけではなく、対応していない環境では利用できません。また、認証デバイスを紛失・故障した場合にログインが困難になる可能性があります。

企業導入の観点では、初回登録(エンロール)時の本人確認をどう設計するかも課題です。パスキー自体は強固な認証方式ですが、登録の起点となる本人確認には、既存のパスワード+MFAやeKYCといった手段に依存せざるを得ないケースが多く、慎重な設計が求められます。

2025年以降の導入動向

2025年10月には、日本証券業協会(JSDA)がパスキー(FIDO2)やPKIベースの多要素認証を必須とする改正ガイドラインを施行し、ログインや出金、口座変更といった重要操作にフィッシングに強い認証の導入を明確に位置づけました。

行政分野でも、デジタル庁のDS-511ガイドラインが公開鍵方式による本人確認の重要性を示しており、官民を横断してパスワードレス認証が標準に向かって動き始めています。

背景には、Apple・Google・Microsoftの3社がFIDO標準のサポートを共同で推進していることもあります。iOS/macOSやAndroid、Windows Helloなど、主要なプラットフォームへのパスキー標準搭載が進んだことで、企業がパスワードレス化を検討しやすい環境が整いつつあります。

身近な導入事例

金融機関でも、パスキー認証の導入が進んでいます。例えば楽天証券では、指紋認証・顔認証・PINコード・パターン認証といった端末のロック解除方法を利用したパスキー認証を導入し、従来必要だったログインID・パスワードの入力や、メールによる絵文字認証(追加のログイン認証)を不要にしています。

パスキー設定後は、パスワードの入力を求められる画面が表示された場合、偽サイトの可能性を疑うべきというのも、実運用ならではの分かりやすい判断基準です。

まとめ

FIDO2は、公開鍵暗号方式と生体認証・PINを組み合わせることで、パスワードに頼らない安全な認証を実現するオープン標準です。パスキーという具体的な資格情報を通じて、フィッシング耐性の高さとユーザー体験の良さを両立しています。

2025年のJSDAガイドライン改正など、法規制や業界標準化の後押しもあり、今後さらに導入が進んでいくと考えられます。自社での導入を検討する際は、初回登録時の本人確認設計や対応環境の確認など、実務上の課題も踏まえて計画的に進めることが重要です。