携帯電話でパスキーを作成して使用する方法。

アクセスキー（パスキーまたはパスワードキーとも呼ばれる）を使用すると、生体認証またはデバイスの画面ロックを使用してウェブサイトやアプリケーションにログインできます。コピーされる可能性のあるパスワードを入力する代わりに、デバイスの所有権を確認します。この技術はフィッシング詐欺を減らすのに役立ちますが、キーを作成するデバイスの選択や、電話を紛失した場合のアカウント復旧方法については注意が必要です。.

アクセスキーとは何ですか？

パスキーを作成すると、デバイスはそのウェブサイトまたはアプリ専用の固有の暗号鍵ペアを生成します。秘密鍵はスマートフォン、コンピューター、または互換性のあるマネージャーに保護され、公開鍵はサービスによって保存されます。ログイン時にウェブサイトから認証要求が送信され、指紋、顔認証、PIN、またはローカルパスワードで確認すると、デバイスが応答します。.

ウェブサイトはあなたの生体認証データを受け取ることはありません。システムがキーを使用することを許可するだけです。これはパスワードの共有とは異なり、攻撃者が偽のページに入力された単語を盗み出すことも防ぎます。ただし、共有デバイスで作成されたキーは、ロックを解除できた人なら誰でもアクセスできてしまう可能性があります。.

どのような場合に使う価値があるのか？

パスキーは、メール、ファイルストレージ、オンラインストア、ソーシャルネットワーク、および「パスキー作成」ボタンが既に提供されているサービスで役立ちます。重要なアカウントにはパスキーを使用することをお勧めしますが、復旧方法も常に最新の状態に保ってください。パスキーはあらゆる状況で追加の認証を不要にするものではなく、標準規格をまだ実装していないウェブサイトでは機能しません。.

有効化する前に、ウェブサイトのアドレスが公式のものであることを確認してください。不審なメッセージのリンクをクリックしてパスキーを作成してはいけません。アプリを開くか、アドレスを手動で入力してください。これにより、偽のドメインに認証情報を登録してしまうリスクを軽減できます。.

Googleアカウントでアクセスキーを作成する

携帯電話またはコンピューターでアクセス myaccount.google.com/signinoptions/passkeys, アカウントにサインインし、「パスキーを作成」をタップします。指示が表示されたら、デバイスのロックを解除してください。Googleは、パスキーは個人用デバイスでのみ作成することを推奨しており、生体認証はデバイス上で行われると述べています。.

作成後、プライベートウィンドウまたは別のブラウザでテストしてください。「アクセスキーでサインイン」を選択し、スマートフォンで確認してください。少なくとも2つの方法でログインできることを確認するまで、パスワードとリカバリーコードは削除しないでください。新しく作成したキーは、すべてのログインフローで承認されるまでに数日かかる場合があります。.

複数のデバイスを使用する場合は、各デバイスで同じ手順を繰り返すか、パスキーを安全に同期できる管理ツールを使用してください。アカウントパネルでデバイス名を確認し、古いデバイス、借りたデバイス、または売却したデバイスからキーを削除してください。.

iPhoneでパスキーを使用する

iPhoneでは、互換性のあるWebサイトでは、登録時またはセキュリティ設定でパスキーを作成するよう求められる場合があります。Face IDまたはTouch IDでログインを認証します。Appleはパスキーをパスワードアプリに保存し、承認されたデバイス間でiCloudキーチェーンを介して同期できます。 Appleのパスワード＆キーリングアプリに関するドキュメント.

iOS 18では、パスワードアプリを開いてロックを解除し、該当するカテゴリでウェブサイトを検索します。それ以前のバージョンでは、「設定」→「パスワード」を使用します。Appleは、iCloudキーチェーンは暗号化を使用し、2要素認証が必要であると説明しています。サードパーティ製のパスワードマネージャーを使用している場合は、「設定」→「一般」→「自動入力とパスワード」で、自動入力を処理するアプリを設定してください。.

Safariでは、対応するウェブサイトでパスコード入力オプションが表示されたら、パスコードを選択し、Face IDで認証してください。パソコンでログインを開始する場合、iPhoneはQRコードとBluetoothを介して別のデバイスとして機能します。承認する前に画面を確認してください。.

Android、Windows、およびクロスプラットフォーム共有

Android端末では、パスキーをGoogleパスワードマネージャーなどの互換性のあるサービスに保存できます。Windowsパソコンでは、ブラウザでPIN、生体認証、または物理キーの入力を求められる場合があります。別の端末でログインするには、「別の端末を使用する」オプションを選択し、公式の手順に従ってください。見知らぬ人から送られてきたログイン用QRコードは絶対にスキャンしないでください。.

パスワードは相互運用性を可能にする標準規格に基づいていますが、実際の使用感はブラウザ、システム、プロバイダによって異なります。ウェブサイトによっては、iPhoneで作成したパスワードをAndroid端末で使用できる場合もあれば、端末同士を近づける必要がある場合もあります。該当のオプションが表示されない場合は、システムとブラウザをアップデートしてください。すぐに互換性があると謳う拡張機能はインストールしないでください。.

回収と撤去

パスキーはアカウントの完全なバックアップではありません。復旧用メールアドレス、安全な電話、バックアップコード、および2つ目の認証方法を保管してください。電話を紛失した場合は、ロケーターまたは「探す」機能を使用してロックし、別のデバイスを使用してサービスダッシュボードからパスキーを削除してください。アカウントを復旧したら、信頼できるデバイスで新しいパスキーを作成してください。.

売却、返品、または共有したデバイスからパスキーを削除してください。Googleでは、セキュリティパネルでキーの一覧を確認してください。iPhoneでは、パスワードアプリを開き、該当するウェブサイトを見つけて、サービスが許可している場合はキーを削除してください。キーを削除すると、この方法でのログインができなくなる可能性があるため、事前に別の方法があることを確認してください。.

プライバシーと境界線

生体認証データはデバイスから外部に送信されませんが、サービス側では時間、IPアドレス、ブラウザ、ログイン方法を記録する場合があります。ウェブサイトのポリシーをよくお読みください。職場用アカウントの場合は、組織の規則に従い、公共のコンピュータでキーを作成しないでください。スクリーンリーダーなどの代替手段を使用するユーザーは、センサーにアクセスできない場合、強力なPINを設定することをお勧めします。.

パスキーは偽ページからの保護にはなりますが、誰かがあなたを騙して正規のログインを承認させることを防ぐことはできません。アクセスを開始していないのに認証通知が表示された場合は、それを拒否し、復旧用パスワードを変更してください。.

有効化前のチェックリスト

画面ロックが有効になっていること、システムがアップデートを受信していること、アカウントに最新の復旧用メールアドレスと電話番号が登録されていることを確認してください。パスワードアプリがデバイスとのみ同期していること、およびプロバイダの規定に従って認証情報をエクスポートまたは復旧する方法を理解していることを確認してください。家族でアカウントを共有する場合は、プロファイルを混在させないでください。各自が自分のアカウントと生体認証情報を使用する必要があります。.

作成したキーのリストを少量作成しておきましょう。ウェブサイト名、キーが登録されたデバイス、および確認日をメモしておきます。このリストがあれば、スマートフォンを買い替える際に簡単に削除でき、自宅や職場に目に見えない認証情報が散乱しているという不安感も解消されます。.

よくある質問

Passkeyはパスワードを完全に置き換えるものですか？

必ずしもそうとは限りません。サービスによっては、パスワードをバックアップ用またはアカウント復旧用に保存している場合があります。固有の強力なパスワードを使用し、復旧情報を常に最新の状態に保ってください。.

私の指紋はウェブサイトに送信されますか？

いいえ。生体認証は、デバイス上の鍵の使用を承認するものです。ウェブサイトは暗号化された応答のみを受け取ります。.

公共のコンピューターでパスキーを作成できますか？

これは避けてください。このコンピューターのロック解除権限を持つ人物が誰でもキーを使用できてしまいます。個人用のデバイスまたは物理的なセキュリティキーを使用することをお勧めします。.

デバイスを紛失した場合、どうすればよいですか？

位置情報サービスまたは「探す」機能を使用してデバイスをブロックし、ログアウトして、サービスダッシュボードからパスキーを削除してください。その後、信頼できる復旧方法を使用して再度ログインしてください。.

結論

アクセスキーは、適切なデバイスで作成すれば、ログインを簡素化し、フィッシング攻撃への耐性を高めます。公式ウェブサイトでアクセスキーを有効化し、復旧テストを実施し、別のアクセス手段を確保し、古いデバイスから認証情報を削除してください。この技術は、セキュリティ対策の単独ではなく、セキュリティルーチンの一部として活用することで最大限の効果を発揮します。.