AI172│パスキーを使えば2段階認証はいらない？仕組みと違い
私は、設定できるサービスでは基本的に2段階認証を有効にしています。
パスワードだけより安全性を高められるためです。
一方、最近よく見るようになった「パスキー」については、どこか「2段階認証の2段階目で使うもの」というイメージを持っていました。
ところが調べてみると、これは少し違いました。
パスキーは2段階目として使われる場合もありますが、現在の中心的な使い方は、パスワードそのものを置き換えることです。そして条件を満たせば、一度のログイン操作の中で多要素認証（MFA）まで成立させることができます。
では、パスキーを使えば2段階認証は不要になるのでしょうか。
パスキーは「2段階目」とは限らない
まず、パスキーとは何なのかを整理します。
従来のパスワード認証では、利用者とサービス側が「パスワード」という秘密の情報を使って本人確認をします。
パスキーでは、これを「公開鍵」と「秘密鍵」という二つの暗号鍵に置き換えます。
サービス側には公開鍵を登録し、ログインに使う秘密鍵は利用者の端末などに保存します。ログイン時には秘密鍵そのものをサービスへ送るのではなく、端末側で暗号的な処理を行い、サービス側が公開鍵を使って本人であることを確認します。
FIDO Allianceは、パスキーを「パスワードを置き換える技術」と説明しており、主な用途もパスワードに代わる認証手段としています。（出典：資料1）
つまり基本形は、
パスワード
↓
パスキー
です。
「パスワードを入力した後にパスキーでも確認する」という使い方だけを指すわけではありません。
私が持っていた「パスキー＝2段階認証の2段階目」という理解は、一部の使い方としては間違いではないものの、現在のパスキー全体を捉えるには狭すぎたことになります。
1回しか操作しなくてもMFAになる
ここが、パスキーを理解するときに少し分かりにくいところです。
よくある2段階認証なら、
パスワードを入力
↓
スマホに届いたSMSコードを入力
というように、本人確認を2回行います。
一方、パスキーでは、
パスキーでログイン
↓
指紋・顔・端末のPINなどで確認
↓
ログイン完了
となる場合があります。
見た目では「一度しか認証していない」ようにも感じます。
この違いを理解するには、「2段階認証」と「多要素認証（MFA）」を分けて考えると分かりやすくなります。
MFAでは、本人確認に使う要素を大きく、
本人が「知っているもの」：パスワードやPIN
本人が「持っているもの」：スマホやセキュリティキー
本人「そのもの」：指紋や顔などの生体情報
に分類します。
異なる種類の要素を組み合わせるのがMFAです。Microsoftもこの3分類でMFAを説明しています。（出典：資料2）
パスキーの場合、端末などに保存された暗号鍵を「持っていること」に加えて、PINや生体認証を使ってその鍵を利用できる本人か確認できます。
NIST（米国国立標準技術研究所）のデジタルIDガイドラインでも、一つの認証器の中で複数の要素を確認する「multi-factor authenticator」が認められています。（出典：資料3）
つまり、
2回に分けて操作すること
と、
二つ以上の認証要素を使うこと
は、必ずしも同じではありません。
パスキーなら、一度のサインイン操作の中で複数の要素を確認できるわけです。
Googleアカウントでも、この違いが分かりやすく表れています。
Googleは2段階認証を有効にしたアカウントでも、パスキーでサインインした場合には「端末を持っていて、その端末を解除できることを確認している」ため、通常の2段階目を省略すると説明しています。（出典：資料4）
指紋認証そのものがパスキーではない
もう一つ誤解しやすいのが、
「指紋認証＝パスキー」
ではないことです。
パスキーで指紋や顔を使う場面が多いため、同じものに見えます。
しかし役割は別です。
端末に保存されているパスキーを利用してよい本人なのかを確認する方法として、指紋・顔・PINなどが使われます。
FIDO Allianceによると、生体情報そのものは端末の外へ送信されず、サービス側には生体認証が成功したことを示す情報が伝えられます。（出典：資料1）
そのため、
「サイトへ自分の指紋を登録してログインしている」
という仕組みではありません。
パスキーという暗号鍵があり、それを使える本人かどうかを端末上で確認している、と考えた方が正確です。
パスワード＋SMSとは何が違うのか
では、私がこれまで使ってきたような2段階認証は意味がなくなるのでしょうか。
そう単純ではありません。
パスワードしか対応していないサービスなら、パスワードだけで使うより2段階認証を設定した方が防御を増やせます。
ただ、従来型の2段階認証にも種類があります。
たとえばSMS認証では、
パスワードを盗まれる
↓
さらにSMSコードも盗む
という二つの壁を突破する必要があります。
パスワードだけより防御は増えますが、偽サイトにパスワードと認証コードの両方を入力させるフィッシング攻撃などには注意が必要です。MicrosoftもSMSやメールOTP、認証アプリなどを使う従来型MFAについて、パスワードだけよりセキュリティを高める一方、フィッシング攻撃の対象になり得ると説明しています。（出典：資料5）
パスキーはここが違います。
パスキーは登録したWebサイトやサービスと暗号的に結び付いています。
NISTによると、適切に構成された同期型パスキーでは、鍵を作成したドメイン以外ではその鍵を利用できないため、偽サイトが認証情報を取得して再利用することを防げます。（出典：資料6）
要するに、
「盗まれにくいパスワードを考える」のではなく、「そもそも偽サイトへ渡せるパスワードを使わない」
という方向へ認証方法そのものを変えているわけです。
スマホをなくしたらどうなる？
ここまで聞くと、別の疑問も出ます。
「パスキーを保存したスマホをなくしたら、ログインできなくなるのでは？」
これはパスキーの種類や保存方法によります。
現在のパスキーには、大きく分けて、
複数端末へ同期できるパスキー
特定の端末に保存するパスキー
があります。
FIDO Allianceは、iCloud KeychainやGoogle Password Managerなどのパスキー提供元を通じて複数端末に同期できる方式と、特定の端末に紐づく方式の両方を説明しています。（出典：資料1）
同期型なら、同じパスキー提供元を利用する別の端末から使える場合があります。
一方、端末に固定されたパスキーしか登録していない状態で、その端末を失えば、別の登録済み認証方法やサービス側のアカウント復旧手段が必要になります。
ここは「パスキーなら絶対安心」と言えない部分です。
NISTも同期型認証器について、セキュリティだけでなく、同期の仕組みやアカウント復旧などを含めてリスクを評価する必要があるとしています。（出典：資料6）
パスキーを使う場合も、
「どこに保存されるのか」
「スマホを失った場合どう復旧するのか」
「別の認証方法を登録しているか」
は確認しておいた方がよさそうです。
2段階認証をやめる必要はない
2026年現在、Microsoftも企業向け認証でパスキーへの移行を進めています。
Microsoft Entra IDでは、2026年9月1日からSMSまたは音声認証が有効な対象ユーザーについて、パスキーを自動的に利用可能にし、登録を促す変更が予定されています。さらに2027年2月1日には、Microsoftが直接提供するSMS・音声による認証を終了する計画です。（出典：資料7）
これは「すべてのMicrosoft利用者が2026年9月から強制的にパスキーだけになる」という意味ではありません。対象となるMicrosoft Entra ID環境での段階的な変更です。
それでも、認証が
「パスワードにもう一つ認証を足す」
だけではなく、
「パスワードそのものを、フィッシングに強い認証方法へ置き換える」
方向へ進んでいることは分かります。
では、パスキーを登録したら、今まで設定してきた2段階認証を全部解除すべきなのでしょうか。
私は、そこまで単純に考えない方がよいと思います。
サービスによって、パスキーの扱い、バックアップ手段、復旧方法、2段階認証との組み合わせは異なります。
パスキーに対応していないサービスなら、これまで通り2段階認証を使う意味があります。
パスキーに対応しているなら、
「パスキーは2段階目なのか？」
だけを見るのではなく、
「このサービスではパスキーが何を置き換えているのか」
を確認した方がよさそうです。
今回調べて、私自身の認識も変わりました。
私はこれまで、安全性を高めるには「パスワード＋もう一つの認証」という発想が中心でした。
それ自体は今でも有効です。
ただ、パスキーはそこへ新しい認証を一つ追加するだけの技術ではありません。
弱点のあるパスワードを前提に防御を増やすのではなく、パスワードを使わない認証へ変えていく。
パスキーを理解するうえでは、この違いが一番大きいと感じました。
参考資料
資料1｜FIDO Alliance「FIDO Passkeys: Passwordless Authentication」
資料2｜Microsoft Learn「Microsoft Entra multifactor authentication overview」
資料3｜NIST「Special Publication 800-63B」
資料4｜Google「Protecting your personal info with 2-Step Verification」
資料5｜Microsoft Learn「Microsoft Entra authentication overview」
資料6｜NIST「Syncable Authenticators」
#パスキー #2段階認証 #多要素認証 #MFA #パスワードレス #情報セキュリティ #フィッシング対策 #ITリテラシー
