ドコモ、専用アプリなしのパスワードレス認証「パスキー」を開始 これまでと何が変わる？（1/2 ページ）

[小山安博，ITmedia]

　NTTドコモが4月5日、パスワードを使わない認証方法「パスキー」を導入した。これによって、iPhone、Androidのユーザーはいずれも、より簡単に生体認証でドコモサービスにログインできるようになる。

　今回、パスキー対応に関してドコモのプロダクトデザイン部セキュリティ基盤担当課長の久保賢生氏、プロダクトデザイン部セキュリティ基盤担当主査の朝日信成氏に話を聞いた。

ドコモの久保賢生氏（左）と朝日信成氏

10％未満のパスワードレス設定の拡大を目指すパスキー

　パスキーは、生体認証を使ったログインを可能にするパスワードレス認証の技術。パスワードレス認証技術を推進するFIDO AllianceとWeb技術の標準化団体W3Cが仕様を策定しており、ドコモもFIDO Allianceのボードメンバーとして仕様策定に携わっている。

　これまでドコモでは、「dアカウント設定」アプリを使うことでFIDO認証を使ったパスワードレスの仕組みを導入していた。ドコモが販売するAndroidスマートフォンにはプリインストールされているアプリで、「生体認証または画面ロックで認証」を選ぶと、dアカウントログイン時のパスワードの代わりに生体認証を使ったログイン設定が可能になる。

dアカウントのログイン画面。現在でも、設定すれば生体認証でのログインができる

「設定済みの端末で認証」を選択すると認証のためアプリに通知が送信され、ログインするかどうかを選択できる

これはパターン認証だが、もちろん生体認証も可能。これでログインするのが従来までのパスワードレス認証

ログインが行われたところ

　この設定をした上で、さらに同アプリ内で「パスワードレス設定」を選ぶと、ログイン時のパスワード自体が無効化される。これはFIDO認証の機能を使用しており、パスワードが存在しないためパスワード漏えいによるリスト型攻撃にも強く、フィッシングサイトではログイン画面が表示されないため、フィッシング攻撃にも強いとされている。

　ただ、従来のFIDO認証は、端末内に秘密鍵を保存して、サーバ上の公開鍵との検証によって認証を行うため、認証情報が端末内にとどまってしまう。そのため、複数の端末でログインしようとすると、改めてログイン作業を行う必要がある。パスワードが無効化されている場合、別の端末でのログインが難しくなるため、機種変更や端末紛失などの場合も問題になる。

　そうした点を踏まえて開発されたのが「パスキー（Passkeys）」だ。Microsoftアカウント、Googleアカウント、Apple IDのいずれかに認証情報を保管し、複数の端末で共有する。これにより、一度パスキーの設定をすれば、それぞれのアカウントが設定された端末に同期され、改めて登録しなくても生体認証でログインできるようにした。

　ドコモの場合、FIDO対応当初はアプリでしか機能を実現できなかったためにdアカウント設定アプリから生体認証（FIDO）設定を行っていた。その後、W3Cとの協業でWebAuthn仕様が策定されたため、他社ではブラウザだけでFIDO認証が可能だったが、ドコモはアプリでの設定を継続。今回のパスキー対応に合わせてブラウザベースになった。

　それに合わせて、これまで「パスワードレス認証」としてきた用語を「パスキー認証」に統一。パスワードを無効化する「パスワードレス設定」は「いつもパスキー設定」に変更した。「パスワードレス」という言葉が、どうも伝わりづらいというのがその理由だという。

iPhoneユーザーのパスワードレス設定が遅れていた

　パスキー対応は、まずはiOS端末から。Androidはブラウザによる生体認証のログインは行えるが、認証情報の同期は後日の対応となっている。

　これまで、パスワードレス認証設定をした上でdアカウントにログインしようとすると、dアカウント設定アプリに通知がきて、生体認証をすることでログインを行っていた。ただ、ドコモのAndroid端末であればアプリがプリインストールされていたが、キャリアフリーでドコモ以外の端末を使っていたり、プリインストールがないiPhoneを使っていたりした場合、アプリがインストールされていなかったため、いったんアプリをインストールする必要があった。

　そのため、特にiPhoneユーザーのパスワードレス設定が遅れていたという。パスキーの対応によってアプリが不要になり、標準ブラウザで設定ができることから、iPhoneユーザーの利用拡大が期待される。

　実際に利用する際には改めて登録が必要で、アプリではなくdアカウントのサイトにアクセスして設定をする。ドコモユーザーは回線認証とネットワーク暗証番号で本人確認。ドコモ以外のユーザーは、登録されたメールアドレスと電話番号にそれぞれワンタイムパスワードを送信して確認をする。

こちらはパスキーの場合。ログイン時は「生体認証または画面ロックで認証」を選択

そのまま生体認証が求められてログインできる

dアカウントの設定ページからパスキー設定を行う

本人確認のためにワンタイムパスワードが求められる

最後に端末で生体認証の設定をする。iOSの場合、この認証情報が同期され、他の端末でも利用できる。Androidの場合は、当面各端末で同じ作業が必要

　パスキーの登録が終われば、生体認証によってログインできるが、従来のようにアプリへの通知ではなくブラウザからの通知になるので、そのままログインすればいい。iPhoneであればパスキーが同期されるので、iPadなどの他のiOS端末で設定しなくても、そのまま生体認証でのログインが可能だ。

　Androidが遅れることについて久保氏は、設計の問題は多少あるものの、それ自体が原因というよりも、パスキーのスタートということでまずは様子を見ながら進めたいという考えを示す。