パスキー時代の"認証要素"の考え方 ~パスキーとパスワードマネージャー~

ritouです。 サービス、ブラウザ、OSそれぞれのパスキー対応が日々進んでいます。 その中で、パスキーを利用してみて認証要素についてふと考えてしまう人がいるでしょう。 パスキー簡単！けどこれ指紋認証だけ？弱くなってない？ SMS OTPを2FAに設定し、パスワードマネージャーも使ってたから使い勝手はあまり変わらない。むしろSMS OTPがないぶんだけ弱くなった？ この辺りについて整理します。 認証要素というと、次の3つです。 SYK: Something You Know. パスワード、PIN SYH: Something You Have. 認証アプリ、TOTP生成アプリ、バックアップコード、 SYA: Something You Are. 生体認証 前にこんな記事を書きました。 この内容を説明すると、「うん、わかってる」って人は多いです。 でも、実際に使ってみると心許なく感じたりする

[delphinus35]

1Passwordは今後マスターキー自体をパスキー対応するらしいので、そうなってからが本番だろうな。

[d0i]

パスキーを同期したくなる意味が正直あまりよくわからない。ログインしたい端末の台数分発行できないんだっけ。初期設定が嫌とかそういう話?

[NOV1975]

機種変で困らなくなる＝煩雑さを伴う管理をユーザーサイドに要求するand単一の端末しかない時の故障紛失の対応が「パスキーないんですかぁ？」になりそうなのが怖い

[teppeis]

1PasswordのパスキーはSYHのみなのか？パスワードマネージャーにより十分安全なパスワードであると保証できる場合、果たしてSYK以外の要素が必要か？みたいな話

[inabajunmr]

同期できないと機種変とかで困るので

[transceiver101]

素人ながら、idとpwで入れるような古いサイトも強制的にパスキーに出来ないのかな。ブラウザでの制約はできそうだけど、それ以外難しいかな。。

[IGA-OS]

用語説明もあって参考になる

[wktk_msum]

1passwordなど

[circled]

1passwordは直ぐにロックする設定にしとけば？としか(MacもWindowsもロック解除は生体認証で一瞬だし)

[ya--mada]

パスキーを攻略するにはGかAppleアカウントの認証をパスして攻撃者の端末を紐づける必要がある、もしくは端末乗っ取りして認証方法の上書き。パスキーの優位な点はそこよりも、運用の強さ、アンチフィッシングとか