パスキーはなぜ「盗まれても意味がない」と言えるのか - 真価を発揮する使い方 - Qiita

パスワードを入力せず、顔・指紋・端末のPINなどでログインできる「パスキー」。 便利なのは分かりますが、仕組みを調べるともっと気になる特徴があります。 サービス側の認証情報が盗まれても、それだけではログインに使えない。 パスワードなら、漏洩した文字列がそのまま不正ログインに使われることがあります。 では、なぜパスキーでは同じことが起きないのでしょうか。 そしてもう一つ。 パスキーを設定すれば、アカウント乗っ取りはもう防げるのか？ 結論から言えば、そこまで単純ではありません。 この記事では、パスキーの仕組みを公開鍵暗号から追いながら、FIDO2、物理セキュリティキー、GoogleのTitan Security Keyまで整理し、パスキーの強さを本当に生かす使い方を考えます。

[sora_h]

意味がわからない…公開鍵に対応するのはハッシュ化されたパスワードでしょ

[yooks]

“あり”

[secseek]

確かに一番弱いところを見るのが肝心ですね。パスキーが使えても、パスワードも使える状態じゃそっちが狙われるだけなので十分な効果がありません。使わなければ盗まれないってのはありますが