サイバー攻撃による個人情報の漏洩事案が、ニュースで途切れることなく報じられている。

こうした事案が報じられるたびに、ワイドショーに呼ばれる専門家は決まって「多要素認証を設定しておけば安心です」と述べる。 行政の啓発ページでも、「自分の情報は自分で守る」という言葉が繰り返し使われている。

多要素認証の次の段階として名前が挙がるのがパスキーだ。 パスワードそのものを使わない認証方式であるパスキーは、サイトごとに異なる鍵ペアを使い、秘密鍵は利用者の端末から外に出ない。 SNSでも「パスキーしか勝たん」という言い方を見かけるようになり、ここまでの流れを追うと、結論は一つに見える。

しかし、報じられている漏洩事案の多くは、利用者がログインを突破されたのではない。 サービス事業者側のデータベースから、氏名やメールアドレス、カード情報がまとめて抜き取られたものだ。 利用者がパスキーを設定していたかどうかに関係なく、事業者のサーバーに保管されていた情報はそのまま流出する。

この区別は、パスキーの仕組みそのものからも説明できる。 パスキーは秘密鍵を利用者の端末に残し、サーバー側には公開鍵しか渡さない。 フィッシングサイトに誘導されても、鍵は正規のサイトのドメインに紐づいているため使われず、他サービスで使ったパスワードを流用して突破される攻撃も、そもそも共有された秘密がないので成立しない1。 つまりパスキーが防ぐのは、利用者の認証を突破される経路だ。 事業者のサーバーが攻撃されて保管データそのものが抜き取られる経路に対しては、公開鍵しか渡していない以上、利用者がどの認証方式を使っていたかは関係しない。

「自分の情報は自分で守る」という呼びかけは、この二つの経路を区別していない。 利用者が制御できるのは自分の認証方法だけであり、事業者がどの情報をどう保管し、どう守るかは利用者の手の届かない範囲にある。 パスキーを設定しても、契約しているサービスのデータベースが攻撃されれば情報は漏れる。

パスキーを設定する意味はある。 ただしそれは、フィッシングや使い回しパスワードによる不正ログインという、漏洩事案とは別の種類の事故を防ぐための対策だ。 漏洩のニュースのたびに「自分の情報は自分で守る」と呼びかけるのは、事業者側のサーバーで起きた事故の責任を、利用者の認証設定の話にすり替えているように見える。

Footnotes

  1. パスキーは公開鍵暗号を使い、秘密鍵は利用者の端末から出ない。サイトのドメインに鍵が紐づくためフィッシングサイトでは使われず、サイトをまたいだ共有の秘密もないためクレデンシャルスタッフィングも成立しない。サーバー側の侵害で得られるのは公開鍵のみで、認証には使えない。FIDO Alliance, “Passkeys: Passwordless Authentication”、Corbado, “Why Passkeys are Phishing-Resistant” ↩