日本の消費者のパスキー認知は62％、グローバルで150億のアカウントが対応 - FIDOアライアンスが説明会を開催

●「パスキー」の導入が始まって2年、認知・利用は大きく広がった FIDO（ファイド）アライアンスは12月12日、都内で第11回となるFIDO東京セミナーを開催し、それに合わせて同アライアンスの取り組みを紹介する記者説明会を開催した。○「パスキー」の導入が始まって2年、認知・利用は大きく広がったFIDOアライアンスは2012年7月に設立された、パスワードレスのオンライン認証の標準化・普及を行う業界団体。「FIDO」は「高速なオンラインID認証」を意味する「Fast IDentity Online」の略だ。ボードメンバーにはGoogle／Amazon／Meta／Apple／Microsoftといったプラットフォーマー、Intel／Qualcomm／Ciscoといったハードウェアベンダー、金融業界からVisa／MasterCard／Bank of Americaなどが名を連ね、IDセキュリティや身体認証を専門とする企業も参加している。「このボードメンバーの構成は全体の構成を反映している」と説明にあたった同アライアンス エグゼクティブディレクター兼CEOのアンドリュー・シキア氏がいうように、オンラインID認証に関わるあらゆる立場の企業が参加している団体といってよいだろう。FIDOアライアンスが目指すのは、パスワードによる認証から、公開鍵による認証への移行を進めること。このためには、公開鍵による認証がシンプルで扱いやすく、それでいて協力なものでなければならないため、公開鍵認証のユーザーエクスペリエンスの改善の支援に力を入れている。そしてFIDOアライアンスが現在導入促進を積極的に進めているのが、公開鍵方式のパスワードレス認証である「パスキー」だ。パスキーの導入が始まったのは2022年と最近のことだが、「パスキーは新しい仕様やプロトコルというわけではない」とシキア氏は言う。「パスキー」という呼称は、秘密鍵をファイルと音声を活用してデバイス間で同期するという機能を導入するにあたって使われるようになったものだが、その認証プロセス自体は以前からある公開鍵と秘密鍵の組み合わせによる認証と何ら変わらないということだろう。ともあれ、「パスキー」のユーザー認知とサービス対応はこの2年の間に広まった。FIDOアライアンスによる調査では全世界の消費者の57％、日本の消費者の62％がパスキーのことを認知しており、グローバルで150億超のさまざまなアカウントがパスキーでサインイン可能になっている。パスキーを利用できるサービスは日々増え続けており、FIDOアライアンスでもすべて把握するのは難しいくらいだという。また、コンシューマ向けサービスでの導入だけでなく、企業が業務において多要素認証やパスワードの代替としてパスキーを導入する事例も増えているそうだ。具体的な導入事例としては、まずワールドワイドのものとして、amazon、Sony Interactive Entertainment、Google、TikTokのケースが紹介された。それぞれサインイン失敗の減少やサインイン所要時間の短縮といったメリットがあったという。国内の事例として紹介されたのはKDDI（au ID）、LINEヤフー、メルカリ、NTTドコモで、パスキー認証の比率が高まっており、登録者数が増加していること、パスキー導入により問い合わせ件数が減っており、また不正ログインの撲滅にも貢献しているというデータが示された。こういった実績の積み重ねの成果のひとつといえるのが、2024年6月に日本政府が策定した「国民を詐欺から守るための総合対策」に「パスキーの普及促進」が盛り込まれたことだという。パスワードレス認証のエコシステム拡大に向けて ○パスワードレス認証のエコシステム拡大に向けてこうしてパスキーの導入が軌道に乗ったといえる今、FIDOアライアンスはさらにパスキーを中心としたパスワードレス認証のエコシステムを拡大しようとしている。FIDOアライアンスの直近の大きな動きのひとつが、2024年11月に公開された「パスキー・セントラル」の立ち上げだ。このパスキーセントラルはパスキーに関するリソースを集約したWebアーカイブで、パスキー導入を検討・実施している企業や実際にパスキーを導入してその運用のスケールアップを図る企業に必要な情報を提供することを目的としているという。この説明会が開催された12月12日には、日本語版の「パスキー・セントラル」も公開されており、英語・日本語・韓国語で利用可能となっている。近日中には中国語が対応予定で、今後さらに対応言語を広げていく方針だという。パスキーの仕様拡張も検討される。現在進められているのは、認証情報マネージャー間の移行についての仕様の策定作業だ。パスキーの利用を進めるにあたって懸念されたことのひとつに、パスキーの導入が進むことにより、ユーザーが特定のプラットフォーム／サービスにロックインされ、他のプラットフォーム／サービスへ移行する際の負担が大きくなるのでは、ということがあった。FIDOアライアンスとしてはこれは本意ではなく、プラットフォーム／サービスごとに持つ認証情報マネージャーの間でパスキーを移行するためのプロトコル／フォーマットを定めることで、移行の負担を最小限にしようとしている。2024年10月にはすでに仕様案が公開され、最終仕様としてまとめるための議論をしている段階だ。このドラフトが仕様として決定される時期について、シキア氏は「2025年半ばには」と言い、Japan WGを代表するNTTドコモの森山氏は「商用にデプロイしていくためにはもう少し時間を」としていた。仕様が決定されたとしても、実際のサービスに導入されるまでには多少の時間がかかりそうだ。FIDOアライアンスではパスキーの利用シーンがさらに広がることを期待しており、クレジットカードでの利用、スマート家電や自動車のスマートデバイスでの利用などが進められている。そして今後の大きな成長分野と見込んでいるのが自治体向けのサービスだ。現在EUが導入を進めているEUDI（EU デジタル アイデンティティ）というデジタルID管理の枠組みにおいても、パスキーもしくはそれと類似する最新の認証技術の採用が検討されているようで、FIDOアライアンスとしてはサービス事業者に対しては「パスキーを導入しましょう！」というメッセージを、ユーザーに対しては「パスキーを使いましょう！」というメッセージを、今後も発信していく考えだという。国内では政府策定の詐欺対策にパスキー導入が盛り込まれる ○国内では政府策定の詐欺対策にパスキー導入が盛り込まれるシキア氏からFIDOアライアンスのグローバルでの活動、パスキーのグローバルでの受容状況が説明された後は、FIDO Japan WGの森山光一座長（NTTドコモ チーフセキュリティアーキテクト）から日本国内での活動・状況についての報告が行われた。FIDO Japan WGの活動は2024年で9年目。2025年1月には毎月の定例会も100回目を数えるといい、国内企業だけでなく外資企業の日本法人もメンバーとなって活動を行っている。その成果として、日本国内でFIDO認証を導入する企業・団体も増え、2023年時点で導入済み13社＋導入予定1社で計14社だったのが、この日の時点で導入済みが27社、それに後述する日本経済新聞社の導入決定で計28社となり、この1年で倍増ということになった。その活動においては、警察庁サイバー警察局とも対話を行っているという。メルカリやNTTドコモでパスキー導入によりフィッシング詐欺被害がなくなっているという実績を共有した結果、2024年3月に警察庁がまとめた「キャッシュレス社会の安全・安心の確保に関する検討会」の報告書においては「次世代認証技術（パスキー）の普及促進」が提言に盛り込まれた。さらに日本政府が策定した「国民を詐欺から守るための総合対策」に「パスキーの普及促進」が盛り込まれたというのはシキア氏からも紹介されたとおりだ。この日は日本国内での動きとして、3つの発表があった。ひとつは、先にも紹介した「パスキー・セントラル」の日本語化。先行企業の事例などを記事として提供し、パスキー導入が加速するようにコンテンツの日本語提供を開始した。ふたつめは、日本経済新聞社の「日経ID」のパスキー対応。2025年2月以降、パスキーによる認証で「日経電子版」などのサービスを利用できるようになるという。日本経済新聞社は後述する「パスキーハッカソン」にも参加するなど、これまでにもパスキーに積極的な姿勢を見せていたそうで、いよいよ導入に至ったという恰好だ。そしてみっつめは、アカデミアとの連携強化について。2024年6月にはパスキー関連の開発コンテスト「パスキーハッカソン」を開催しており、慶応大学のチームが最優秀賞、早稲田大学のチームがFIDO賞を受賞している。また、2024年12月4日には、情報処理学会の研究会において、情報セキュリティ大学院大学の渡辺隼人氏・稲葉緑准教授によるパスキー利用を促す通知デザインについて発表が行われるなど、アカデミアでもパスキーについての関心が高まっており、さらに連携を強化していく方針だ。なお、稲葉准教授と、ハッカソン早稲田大学チームの学生が所属する研究室の佐古和恵教授は、この説明会の同日に開催されたFIDO東京セミナーにおいてスピーカーとして登壇した。ハッカソン慶応大学チームも、同チームの取り組みについて展示を行っていたとのことだ。両氏によるプレゼンテーションの後の質疑応答では、「導入事例が増えてトラブルの話も聞くようになった。シキア氏も『まだ課題がある』と言っていたが、具体的にはどういう課題があると考えているのか」という質問があった。これにシキア氏は「UX・ユーザージャーニーの部分に課題が多いと考えている」「OS・ブラウザーレベルの改善、企業の自助努力での改善、この2つの側面の支援プロセスがある」と回答。このうち、前者についてはAppleやMSにフィードバックすることでこの数カ月間に大きな進展があったといい、後者については課題の解消のためにパスキー・セントラルを活用してほしいと話していた。また、パスキーを導入してもパスワードと併用している企業に対してパスワードの利用廃止を期待するのか、併用もやむなしと考えているのかという質問については、、シキア氏は「そこは企業ごとの判断になる」と回答。森山氏がそれに補足し、「何よりも『パスキーを使ってほしい』というのがある。また、『同期パスキーを使うべきか、デバイス固定パスキーを使うべきか』ということもよく聞かれる。フィッシング防止には同期パスキーがいちばんなのでそれを勧めているし、それができない場合はデバイス固定キーを使うのがよいということになる。パスワードを廃止するかどうかは企業判断になるが、パスワードを残すとフィッシングを防ぎきれないところがあるので、パスワードを廃止したほうが効果があるということはお願いする」と、企業判断ではあるもののパスワードを廃止するのが安全だという考えを示した。2025年には、iPhoneにマイナンバーカードが搭載できるようになる予定。FIDOアライアンスとしても、iPhoneのマイナンバーカード搭載により、スマートフォンでの本人確認が自然な行為となり、パスキーの利用が一層進むことを期待しているとのことで、ますますパスキーの活用場面は広がっていきそうだ。