WebAuthnとは?パスワードに代わる新認証技術の仕組みと将来性を徹底解説

パスワードが好きではない理由はありませんか?すべてを覚えるのが大変だったり、どのサイトでも情報漏洩一件でログイン情報が流出しかねないことに不安を感じたり……。そんな悩みを解消するかもしれない動きが、WebAuthnをめぐって近年進んでいます。うまくいけば、強力な二段階認証のバックアップ手段となり、最終的にはパスワードそのものを置き換える可能性すらあります。

WebAuthnとは?

指紋スキャン対応のスマートフォンやノートPCを使ったことはありませんか?端末ではスキャナーを使ってパスワード入力を省略できますよね。WebAuthnはこれとよく似た仕組みで、違いは対象がデバイスではなくウェブサイトへのログインであるという点だけです。

あるウェブサイトにログインしたいとします。そのサイトがWebAuthnによる認証に対応していれば、アカウント登録時にWebAuthnの資格情報(クレデンシャル)を追加できます。PINコード、指紋などの生体認証、USBセキュリティキーなど、選択できる方法は多彩です。

登場して間もない技術ながら、WebAuthnで本人確認を行う手段はすでにいくつか存在します。YubiKeyはWebAuthnに対応しており、サインアップ時にUSBポートへ差し込むだけで認証に利用できます。また、生体認証搭載のスマートフォンをお持ちなら、それをサイトへのログイン時の認証デバイスとして使うことも可能です。

一度デバイスをサイトに登録してしまえば、以降は指定した方法でログインできます。たとえばスマホを使った場合、サイトのログインページを開くとスマホが生体認証を求め、あなた自身であることを確認してくれる仕組みです。

WebAuthnは通常のパスワードと組み合わせた二要素認証としても活用できますが、この技術が普及すれば、ログインの主役となりパスワードを完全に置き換えることも十分あり得ます。

なぜパスワードより安全なのか?

WebAuthnでログインする最大の強みは、フィッシング攻撃を封じ込められる点にあります。従来のパスワードは偽サイトや詐欺メールによって盗まれる危険がありましたが、WebAuthnではそうはいきません。たとえば生体情報は、パスワードよりもはるかに「盗む」のが困難です。

さらに、WebAuthnの仕組み上、対応サイト側はユーザー認証に使われたデータそのものを受け取りません。受け取るのは「本人である」という確認結果のみです。そのため、ログイン過程から生体情報などの機密データを収集し、他人になりすますといった行為ができなくなっています。

パスワードは本当に置き換わるのか?

WebAuthnにはパスワードを完全に置き換える潜在力がありますが、それが保証された未来というわけではなく、一夜にして実現するものでもありません。最近この技術がニュースになったのは、標準化が最終段階に近づいているためです。FirefoxとChromeはすでにWebAuthnに対応しており、ウェブサイト側は望めば今すぐこの技術を導入できます。

ここから先は世間の関心次第です。Amazonのような大手サイトの開発者たちがWebAuthnを時間の無駄と判断すれば実装は進まず、技術は廃れてしまうでしょう。逆に、実装されても誰も使わなければ、定着する勢いを得られないかもしれません。仮に実装され広く使われるようになったとしても、パスワードが完全に置き換わるまでには相応の時間が必要です。

開けゴマ、パスワードレスの未来へ

現代ではフィッシング攻撃やデータベース漏洩が後を絶ちません。だからこそ、セキュリティ対策の転換はまさに息抜きとなるかもしれません。WebAuthnは第二の防御壁として、あるいはパスワードそのものの置き換えとして、その革命の担い手になり得るのです。

あなたはWebAuthnが従来のパスワードに取って代わることを望みますか?それとも面倒すぎると感じますか?ぜひコメント欄で教えてください!