パスワードの問題点を私たちは知っています。パスワードは忘れやすく、ハッカーにとっては推測や総当たり攻撃、あるいは公開されているデータ漏洩からのダウンロードが容易です。だからこそ、テクノロジー企業はパスワードをより安全なものに置き換えることを急いでいます。多くの場合、それはスマートフォンのロック解除に使用する生体認証データを意味します。
第三者がセキュリティ対策を回避することは技術的に不可能ではありませんが、偽の銀行ウェブサイトに誤って指紋を入力することは不可能ですし、ダークウェブでダウンロード可能な顔写真が見つかる可能性も低いでしょう。ハッキングされるリスクは大幅に低下します。
システムをパスワードレスにする方法はいくつかありますが、最新のiOS 16およびiOS 16.1アップデートでは、「パスキー」と呼ばれる技術が追加されました。これらのパスキーは、鍵ペアリングを伴う暗号化要素です。1つの鍵は公開鍵で、ログイン先のアプリまたはサイトに登録され、もう1つの鍵は秘密鍵で、デバイスに保存されます。
これは決してAppleデバイスに限ったアプローチではなく、ほぼすべてのデバイスがパスキー技術（またはそれに類似したもの）を採用しています。Googleはこれらのシステムの実装においてAppleとは少し異なる段階にありますが、アプリやウェブサイトのサポートも必要です。
この記事では、iPhone で利用できる新機能について説明し、さらに Android フォンに今後登場する機能についても説明します。
iOSのパスキー
iOSの場合、パスキーはiCloudキーチェーンを介して機能するため、iPhoneでiCloudキーチェーンを有効にする必要があります（デバイス間でパスワードやその他のデータを同期するため）。また、Apple IDで2ファクタ認証を使用する必要があります。まだ有効にしていない場合は、必ず有効にしてください。これらの手順を完了し、最新のiOSソフトウェアをインストールすれば、パスキーを使用する準備は完了です。
パスキーを実際に使用するには、パスキー対応のサービスにサインイン（または新規アカウント作成）する必要があります。現時点では選択肢はかなり限られていますが、PayPal、eBay、旅行アプリKayakなどのアプリではすでにパスキーオプションが提供されています。これらのアプリを使ってiPhoneで新規アカウントを作成したり、既存のアカウントにサインインしたりすると、パスキーを作成するかどうか尋ねられます。
パスキーの入力を求めるプロンプトが表示されたら、「続ける」をタップするだけです（公共または共有デバイスを使用している場合は、「別のデバイスに保存」という別のオプションも利用できます）。Face IDまたはTouch IDの確認を求められます。確認が完了すると、パスキーが作成されます。今後このアプリにサインインする必要がある際は、パスキーの使用を確認し、顔認証または指紋認証を再度行う必要があります。
iCloudキーチェーンは複数のデバイス間でパスキーの同期を処理するため、いずれかのデバイスにアクセスできなくなっても認証情報を復元できます。また、すべてのデバイスへのアクセスが同時に失われた場合でも、情報を復元するための復旧プロセスが用意されています。少なくとも理論上は、この新しいシステムはエンドユーザーにとってより便利で安全なものになるはずです。
Androidのパスキー
Androidでは、GoogleはパスキーのサポートでAppleにわずかに遅れをとっていますが、それほど大きな差はありません。iOSと同様に、お気に入りのアプリ、サイト、デジタルサービスがすべてパスキーに対応できるようになるまでにはしばらく時間がかかりますが、Googleによると、AndroidとChromeウェブブラウザの両方がベータ版でパスキーに対応しています。2022年末までには、ほとんどのユーザーが使用している安定版ソフトウェアに搭載される予定です。
実際にリリースされれば、iOSと同じように動作します。パスキー対応のアプリやウェブサイトを開き、ログインまたは新規アカウントの作成を試みると、パスキーを使用するかどうかを尋ねるプロンプトが表示されます。「はい」と答え、スマートフォンのロック画面を保護する技術（Androidの場合は通常、指紋センサー）を使って本人確認をすれば、準備完了です。
サインインもほぼ同じ方法で行えます。パスキーとAndroidスマートフォンを使って、他のデバイスのアプリやサイトにもサインインできます。アプリやサイトにはQRコードが表示されるので、スマートフォンでスキャンします。同じ認証プロセスが開始され、スマートフォンが本人確認に成功すると、その情報が他のデバイスに送信されます。
Google パスワード マネージャーもパスキーのサポートを追加する予定です。つまり、暗号化されたログイン情報は、Google アカウントが使用されているすべての場所で同期されることになります。現状と同様に、本人確認が必要な頻度はアプリやサイトによって異なります。例えば、銀行アプリを開くたびに確認が必要になるかもしれませんが、ソーシャルメディアを閲覧しているだけの場合はそれほど頻繁に確認する必要はありません。
