【情報セキュリティマネジメント】パスワードレス時代の本人確認、分かれ目は「どの段階を確認するか」｜FIDO・パスキー・eKYC・フィッシング耐性

パスワードレス認証は、単にログイン画面からパスワード入力欄をなくすことではありません。

メールやSMSで届くコードだけを使う方式も、利用者がパスワードを入力しないという意味ではパスワードレスに見えます。しかし、認証情報の保管場所、偽サイトでの悪用可能性、端末紛失時の復旧方法は、方式によって異なります。

また、FIDO・パスキーとeKYCは、どちらも本人に関係する仕組みですが、確認する段階が違います。

• eKYC：申請者が現実の誰であるかを確認する
• FIDO・パスキー：登録済みアカウントを操作している利用者を認証する

この記事では、これまでに学んだ公開鍵暗号、デジタル署名、チャレンジレスポンス認証、認証の三要素をつなぎ、FIDO・パスキー・eKYCを整理します。

読み終えるころには、事例に出てくる仕組みが申込時の身元確認なのか、登録後のログイン認証なのかを切り分け、秘密鍵の置き場所と偽サイトでの再利用可否から方式の強さを判断できるようになります。

先に結論：身元確認か、登録後のログイン認証か

見分けるポイントは次の三つです。

1. 初回登録・申込みか、登録後のログインか
2. 秘密鍵と公開鍵をどこに保管するか
3. 偽サイトで認証情報を再利用できるか

SGで問われる範囲と、深追いしない範囲

この記事で使う語には、SGシラバスVer.4.1の用語例に明示があるものと、説明のために名称を借りているだけのものが混在します。どこまで覚えるかの目安は次のとおりです。

SGで問われるのは方式名の暗記ではなく、「どの段階を確認する仕組みか」「秘密鍵をどこに置くか」「偽サイトで再利用できるか」です。

1．身元確認・認証・認可を分ける

最初に、似た三つの処理を分けます。

口座開設時にeKYCを行っても、その後のログイン認証が弱ければアカウントを奪われる可能性があります。

反対に、FIDOによって強い認証を行っても、最初に誤った人物へアカウントを発行していれば、身元確認の問題は解決しません。

また、ログインに成功しても、全ての情報・操作を許可してよいとは限りません。認証後の権限は、認可・アクセス制御によって別に管理します。

2．FIDO認証：サービス側へ共有秘密を置かない

FIDOはFast IDentity Onlineの略です。

FIDO認証では、公開鍵暗号を利用し、サービスと利用者がパスワード相当の共有秘密を保有して照合する方式を避けます。

サービス側は、認証用の共有秘密ではなく、利用者の資格情報に対応する公開鍵と関連情報を保持します。

利用者側の認証器は、対応する秘密鍵を保護し、その秘密鍵を利用した署名応答によって認証を行います。

登録時

1. 利用者側の認証器が、対象サービス用の公開鍵と秘密鍵の組を生成する
2. 秘密鍵を認証器側で保護する
3. 公開鍵と資格情報の識別情報をサービス側へ登録する

認証時

1. サービス側が一回限りのチャレンジを送る
2. 認証器が、利用者の存在確認や、必要に応じて端末内の利用者検証を求める
3. 認証器が秘密鍵を用いて、チャレンジや接続先情報などに対する署名応答を生成する
4. サービス側が登録済みの公開鍵で署名応答を検証する
5. チャレンジ、接続先、利用者検証の結果などが正しいことを確認する

サービス側へ秘密鍵を登録するのではありません。

秘密鍵は利用者側の認証器で保護し、サービス側は公開鍵で応答を検証します。

3．FIDOがフィッシングへ強い理由

入力型OTPでは、利用者が偽サイトへ入力した有効なコードを、攻撃者が正規サイトへ即時に中継できる場合があります。

FIDO・WebAuthn（Web Authentication）の公開鍵資格情報はRelying Party（RP）ごとにスコープされ、認証処理ではブラウザがWebのオリジンを確認し、RP IDなどと認証データを結び付けます。

そのため、正規サイト向けの資格情報を偽サイトがそのまま利用して、有効な認証応答を得ることを防ぎやすくなります。

認証時に結び付けるもの

• 対象サービスの識別子
• Webのオリジン
• 一回限りのチャレンジ
• 利用者が認証器を操作したこと（利用者の存在確認）
• 必要に応じた端末内の利用者検証

この検証者名への暗号学的な結び付きにより、FIDO・WebAuthnは、利用者の注意力だけに依存せず、偽の検証者へ有効な認証情報を渡すことを防ぐフィッシング耐性を実現できます。

防げないものもある

FIDOを導入しても、次の問題は別途対策が必要です。

• 認証後のセッションハイジャック
• 端末・ブラウザのマルウェア感染
• 利用者が不正な送金・取引を承認する
• 過大なアクセス権
• 弱いアカウント復旧
• 正規アカウントへの不正な認証器追加
• サービス側の認可・業務処理の脆弱性

FIDOは強いログイン認証を支えますが、認証後の全ての攻撃を防ぐものではありません。

4．認証器と端末内の利用者検証

秘密鍵を保持し、認証応答を生成する機器・機能を認証器と呼びます。

認証器の例

• スマートフォン・PCに組み込まれた認証器
• ハードウェアセキュリティキー
• TPM（Trusted Platform Module）やセキュアエレメントを利用する認証器

認証器は、署名処理を行う前に、利用者が認証器を操作したことを確認し、必要に応じてPIN（Personal Identification Number）や生体情報などで端末内の利用者検証を行います。

• 端末へ触れる
• ボタンを押す
• 端末のPINコードを入力する
• 指紋・顔などを端末内で照合する

パスキーで使う生体情報はサービスへ送らない

パスキーで生体認証を利用する場合、生体情報・生体テンプレートの照合は利用者側の端末・認証器内で行われ、サービス側へ生体情報そのものは送信されません。

端末・認証器内の照合に成功すると、認証器が秘密鍵の利用を許可し、サービス側へ署名応答を送ります。

サービス側が受け取るのは、生体情報そのものではなく、公開鍵で検証できる認証応答と、利用者検証が行われたことを示す情報です。

ただし、FIDO認証で必ず生体認証を使用するわけではありません。PIN、端末ロック解除、認証器へのタッチなどを使用する構成もあります。

5．パスキー：FIDO資格情報でパスワードを置き換える

パスキーは、FIDO標準に基づく認証資格情報で、パスワードを置き換えるために利用されます。

利用者は、端末の生体認証、PINコード、画面ロック解除など、普段端末を解除する方法によってパスキーの使用を承認します。

サービス側では公開鍵などを保持し、利用者側では対応する秘密鍵を保護します。

同期型パスキー

同期型パスキーでは、暗号学的に保護された資格情報を、パスキープロバイダを通じて複数端末で利用できるようにします。

利点

• 新しい端末でも利用しやすい
• 端末を一台紛失しても、別の正規端末から利用できる場合がある
• パスワードに近い利便性を保ちながら、フィッシング耐性を得られる

管理上の注意

• 同期サービスのアカウントを強く保護する
• 同期先端末を管理する
• 不要・紛失端末を解除する
• 復旧手続を安全にする
• 組織のセキュリティ方針に合うか確認する

同期型では、パスキーの秘密鍵を含む資格情報が暗号学的に保護され、パスキープロバイダを通じて複数端末へ同期されます。

したがって、「FIDOの秘密鍵は元の一台の端末から絶対に外へ出ない」と一律に説明することはできません。

ただし、認証時の秘密鍵処理は利用者側の端末・認証器で行われ、サービス側へ秘密鍵を渡すわけではありません。

端末固定型パスキー

端末固定型パスキーでは、資格情報を特定の端末又はセキュリティキーへ固定し、他の端末へ同期しません。

利点

• 鍵のコピー数を限定しやすい
• 特定のハードウェアへ資格情報を結び付けられる
• 組織の高い保証要件へ対応しやすい場合がある

管理上の注意

• 端末紛失・故障時の予備認証器が必要
• 新端末への再登録手続が必要
• 退職・異動・機器交換時の解除が必要

パスキーは必ずクラウド同期されるわけでも、必ず一台だけに固定されるわけでもありません。

6．パスワードレス認証と多要素認証は同じではない

パスワードレス認証は、パスワードを利用しない認証です。

多要素認証は、記憶・所有・生体の異なる種類を二つ以上組み合わせる認証です。

判断軸が異なります。

パスキーが多要素認証になるかは、認証器がどの利用者検証を行い、サービス側がその結果をどのように要求・検証するかによって異なります。

単に「生体認証の画面が表示された」「パスワード欄がない」という見た目だけでは判断しません。

7．端末紛失とアカウント復旧

認証方式が強くても、アカウント復旧手続が弱ければ、攻撃者は復旧経路を狙います。

事前に設計すること

• 複数の正規認証器を登録する
• 予備のセキュリティキーを安全に保管する
• 紛失した認証器をアカウントから解除できるようにする
• 認証器追加時に既存の強い認証を求める
• 復旧時に十分な本人確認を行う
• 復旧・認証器追加を既存の連絡先へ通知する
• 復旧後に登録済み認証器とセッションを点検する
• 管理者だけの判断で安易に認証を解除しない

SMS・メール・秘密の質問などの復旧手段が、FIDO認証より弱い経路になっていないかを確認します。

端末をなくしたら何を止めるか

端末を紛失した場合は、端末を探すだけでなく、サービス側で該当資格情報を無効化・削除し、必要に応じてセッションも失効させます。

秘密鍵そのものを遠隔から回収できない場合でも、サービス側で対応する公開鍵資格情報を使用不能にすれば、その資格情報による認証を止められます。

8．eKYC：オンラインで身元を確認する

eKYCはelectronic Know Your Customerの略として使われ、オンラインで本人確認を完結させる取組を指します。

FIDO・パスキーが登録後の利用者認証を扱うのに対し、eKYCは口座開設・契約・利用開始などで、申請者が現実の誰であるかを確認します。

利用される情報の例

対象業務と適用法令によって異なりますが、金融分野では次のような情報・方法が利用されます。

• 写真付き本人確認書類の画像
• 本人確認書類のICチップ情報
• 本人の容貌画像・映像
• 公的個人認証サービスなどの電子証明書
• 既に本人確認済みの金融機関情報との照合
• 追加資料・有人確認

「本人確認書類と顔画像を送信すれば、全ての業務で同じ要件によりeKYCが完了する」とは限りません。

具体的な方法、保存事項、利用できる書類は、対象業務、適用法令、施行時点によって異なります。金融分野の本人確認方法には2027年4月1日を境とする制度変更があるため、施行時点の要件を確認します。

9．eKYCで確認すること

オンライン本人確認では、画像が似ているかだけでは不十分です。

主な確認事項

• 提示された身元証明資料が真正か
• 記載情報が有効・正確か
• 申請者が資料の名義人本人か
• 顔画像・映像を用いる方式では、それが申請者本人に対応するか
• リモート撮影などを用いる方式では、画像・動画が注入・差し替えされていないか
• 必要に応じて、重複・不自然な申請がないか
• 対象業務のルールに従い、必要な証拠・記録を取得・保存できているか

想定する攻撃

• 偽造・変造された本人確認書類
• 他人の書類の使用
• 印刷した写真・画面表示によるなりすまし
• 録画映像の再生
• ディープフェイク
• カメラ入力への画像・映像注入
• ICチップ情報と提出情報の不一致
• 確認担当者へのソーシャルエンジニアリング

対策の方向

• 書類・電子証明書の真正性を検証する
• ICチップなどの保護された情報を活用する
• ライブネス・提示攻撃検知を利用する
• 画像・映像の注入攻撃を検知する
• 申請情報の重複・不自然さを確認する
• 高リスク時に追加資料・有人確認を行う
• 個人情報・生体情報を適切に保護する
• 例外・代替手続を設ける

ライブネス確認やAIによる判定も万能ではありません。誤判定、利用環境、アクセシビリティ、個人情報保護を考慮し、複数の確認を組み合わせます。

10．eKYC後の認証管理

eKYCが完了しても、その後のアカウントが自動的に安全になるわけではありません。

• 正しいアカウントへ認証器を登録する
• 新しい端末・認証器の追加時に再認証する
• 登録情報の変更を適切に確認する
• アカウント復旧時に身元を再確認する
• 不審な端末追加・復旧を通知する
• 長期間未使用のアカウントを管理する
• 退会・契約終了後の認証器と権限を停止する
• 高リスク取引では取引内容の確認・再認証を行う

身元確認、認証、認可、取引確認は、別の処理として連携させます。

11．EMV 3-Dセキュアとの違い

EMV 3-Dセキュアは、非対面カード決済で、取引・端末情報などを連携し、カード発行会社によるカード会員認証と不正利用抑止を支援する仕組みです。

パスワードレス認証が「ログインしている利用者が登録済みの本人か」を扱うのに対し、EMV 3-Dセキュアは「その決済取引を認めてよいか」を扱います。仕組みの詳細は「認証方式の仕組み」の記事で扱います。

科目A・科目Bでの判断手順

1. 初回の身元確認か、登録後のログインか確認する

本人確認書類などで現実の人物を確認するならeKYC、登録済み利用者を確認するなら認証です。

1. 秘密鍵と公開鍵の置き場所を確認する

FIDOでは、秘密鍵を利用者側の認証器で保護し、サービス側へ公開鍵を登録します。

1. 共有秘密の一致で認証していないか確認する

FIDOは、サービスとパスワード相当の共有秘密を持つ方式ではなく、署名応答を公開鍵で検証します。

1. 資格情報が接続先へ結び付いているか確認する

FIDO・WebAuthnでは、RP IDへのスコープとオリジン確認を含む検証者名への結び付きがフィッシング耐性を支えます。

1. パスキーが同期型か端末固定型か確認する

同期・復旧・紛失時の管理方法が異なります。

1. パスワードレスと多要素を混同していないか確認する

実際に検証する認証要素を確認します。

1. eKYCの方法を一つに限定していないか確認する

適用法令、対象業務、施行時点によって必要な方法が異なります。

1. 認証後の権限・取引まで安全と断定していないか確認する

認可、セッション管理、取引確認、アカウント復旧は別に対策します。

よくある取り違え

まとめ

• eKYCは利用開始時などの身元確認、FIDO・パスキーは登録済み利用者の認証を扱う
• FIDOでは、利用者側の認証器が秘密鍵を保護し、サービス側は公開鍵と関連情報を保持する
• 認証時は、一回限りのチャレンジなどへ秘密鍵で署名し、サービスが公開鍵で検証する
• サービス側へパスワード相当の共有秘密を保存・照合しないことがFIDOの重要な特徴
• FIDO・WebAuthnはRP IDへのスコープとオリジン確認を含む検証者名への結び付きにより、入力型OTPよりフィッシングへ強い
• FIDOを導入しても、セッション窃取、端末侵害、過大な権限、弱い復旧は別に対策する
• パスキーはFIDO資格情報を利用してパスワードを置き換える
• パスキーには同期型と端末固定型があり、鍵の保管・復旧方法が異なる
• 同期型でも、秘密鍵をサービス側へ渡して認証するわけではない
• パスキーで生体認証を使う場合、生体情報は利用者側の端末・認証器内で照合し、サービス側へ送らない
• パスワードレス認証と多要素認証は別の軸であり、一要素のパスワードレス構成もある
• 端末紛失時は、認証器の解除、セッション失効、予備認証器、安全な復旧が必要
• eKYCはオンラインで申請者の現実の身元を確認する取組
• eKYCの具体的方法は、対象業務、適用法令、施行時点によって異なる
• eKYCでは、偽造書類、画像・映像の注入、ディープフェイク、他人の書類利用などを想定する
• eKYC完了後も、認証器登録、ログイン認証、認可、取引確認、復旧管理が必要
• EMV 3-Dセキュアは決済取引の認証であり、ログイン時のパスワードレス認証とは目的が異なる
• 科目Bでは、確認する段階、鍵の保管場所、接続先への結び付き、復旧経路を確認する

関連記事

• C1-T07：ソーシャルエンジニアリングとフィッシング
• C1-T09：ネットワーク・通信への攻撃
• C1-T12：AIと攻撃
• C2-T01：暗号方式の基本（鍵管理・危殆化を含む）
• C2-T04：デジタル署名とタイムスタンプ
• C2-T06：利用者認証の3要素と生体認証
• C2-T07：認証方式の仕組み
• C5-T06：アクセス制御と権限管理
• C6-T02：初動対応とエスカレーション
• C8-T01：個人情報保護法の用語ピラミッド

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• FIDO Alliance「Passkeys」
• W3C「Web Authentication: An API for accessing Public Key Credentials – Level 3」
• NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」
• NIST SP 800-63A-4「Digital Identity Guidelines: Identity Proofing and Enrollment」
• 金融庁「犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法に関する金融機関向けQ&A」
• 金融庁「『犯罪による収益の移転防止に関する法律施行規則の一部を改正する命令』の公布等及びパブリックコメントの結果等について」

関連する問題

• 情報セキュリティマネジメント 暗号・認証・PKI 択一式（応用） 第11問〜第15問
• 情報セキュリティマネジメント 暗号・認証・PKI 択一式（応用） 第16問〜第20問
• 情報セキュリティマネジメント 暗号・認証・PKI 一問一答 第26問〜第30問

---