ハクソク

世界を動かす技術を、日本語で。

パスキーは罠です。使用しないでください。

2026年10月12日原文(nonfunctional.substack.com)

概要

  • パスワード に代わり、 passkey の利用が推奨されている現状
  • passkey は便利で安全だが、ユーザーの コントロール権 が制限される懸念
  • FIDO Alliance など推進団体の利害と消費者利益の不在
  • TOTP （認証アプリ）など既存の安全な認証方式との比較
  • passkey の多様性と複雑性、ユーザー混乱のリスク

パスワードからpasskeyへの移行の裏側

  • 近年、多くのウェブサイトが パスワード廃止 を推進し、 passkey （パスキー）への移行を求める動き
  • パスキーは「より安全」「より便利」と説明されるが、ユーザーにとっての 本質的なメリット は限定的
  • パスワードや認証アプリと異なり、 passkey はユーザー自身が 完全な管理権限 を持てない設計
  • たとえばパスワードは紙に書いたり、認証アプリは好きなものを選べる自由度があるが、passkeyはその選択肢が徐々に奪われる可能性
  • この制限は、 Webサービス側がユーザーの自由度をコントロールできる仕組み が組み込まれているため

FIDO Allianceと推進団体の思惑

  • passkey は FIDO Alliance という複数組織（Big Tech、政府、銀行、Mozillaなど）が推進
  • それぞれの団体が自分たちの 利害 に基づきpasskeyを支持
    • Big Tech：ユーザーの利便性向上と広告収益
    • 政府・情報機関：全世界のユーザー追跡
    • 銀行：責任回避
    • 小規模IT企業：安価なリスク低減策
    • Mozillaなど：特定の立場に固執しない姿勢
  • 消費者団体やユーザー擁護団体は FIDO Alliance に参加しておらず、ユーザー利益の代弁者が不在

パスワード・TOTP・passkeyの比較

  • パスワードは直感的で誰でも使いやすく、 保存・共有方法の自由 がある
  • TOTP（認証アプリ）は オープン標準 （RFC 6238）であり、どんなアプリや端末でも利用できる柔軟性
    • 例：Google Authenticator以外でも利用可、スマホ以外でも生成可能
    • 認証コードは数分で無効になり、漏洩リスクが低い
    • シード情報も自分で管理・共有できる
  • passkeyも一見オープン標準（WebAuthn）だが、 実態は多様かつ複雑
    • コピー可能・不可能、転送可能・不可能、ファイル型・ハードウェア型など 仕様が複雑
    • どのタイプのpasskeyかを把握しないと、端末故障や予期せぬ共有で トラブル発生 の危険

passkeyの多様性とユーザー混乱

  • passkeyには コピー可/不可、 転送可/不可、 ファイル型/ハードウェア型 など複数のバリエーション
    • コピー不可であれば、端末紛失時に復旧困難
    • 転送可であれば、端末移行は楽だがセキュリティリスクも
  • 一部のpasskeyは ハードウェアチップ （Secure Enclave, TPMなど）に格納され、ユーザーは直接アクセス不可
  • 仕様が「カタログ」のように多数のオプションがあり、 標準化の名のもとに複雑化・混乱 を招く
  • FIDO Allianceは意図的に「passkey」という曖昧な用語を使い、ユーザーに詳細を考えさせない設計

まとめ：passkeyの導入に対する注意点

  • passkeyは「安全・便利」だが、 ユーザー主権が制限 される側面
  • オープン標準を謳いながら、実際には 仕様や管理方法がブラックボックス化 しやすい
  • 端末依存や運用の不透明さにより、 ユーザーの自由な運用や復旧が難しくなるリスク
  • 新技術導入時は、 誰の利益が優先されているのか を冷静に見極めることが重要

Hackerたちの意見

これは、パスキーに対する非常に長くてよく書かれた論文だね。読んでみる価値があるし、いくつかの面白くて心配なポイントも挙げてる。ただ、結論には同意できないな。TOTPは素晴らしくて柔軟性があって、ユーザーがコントロールできるけど、柔軟なパスワードマネージャー（Bitwarden、KeePass、1Passwordなど）でパスキーを使うことも、ユーザーにコントロールを与えてくれると思う。しかも、TOTPコードを入力するよりもずっと楽だしね。パスキーよりTOTPを推奨するなら、すでにその数字を生成するアプリ（認証アプリやパスワードマネージャーなど）に頼ってるわけだし、パスキー管理にそれらのソフトウェアを使い続ける理由はないと思う。

└

デバイスにパスキーを使うには、そのデバイスにパスワードマネージャーをインストールして、そのデバイスにパスキーへのアクセスを許可する必要があるから、使えないんだよね。パスワードは柔軟性が比類ないから、今日は動かないからロックアウトされることはないし。TOTPの部分はほとんど冗談だと思うけど、パスキーの問題は、パスワードの代替品として売り出されてるけど、MFAの懸念が混ざってて、相互運用性がほとんど不可能になることが多いってことだね。

└

KeePassXCや他のパスワードマネージャーがユーザーに完全なコントロールを与えてくれるのには完全に同意するし、「パスキー」もサポートしてるけど、重要なのは、すべての種類のパスキーをサポートしているわけではないってこと。KeePassXCはリモート認証のサポートもハードウェアバックアップのサポートもないし、そうあるべきだとも思わない。私の主張は、パスキーが原則的にコントロールを与えられないわけではないってこと。基準がウェブサイトにそのコントロールを行使させないようにすることを容易に許可しているし、パスキーに関する不明瞭なメッセージやUXは、ほとんどのユーザーがその状況に気づかないことを意味してる。

└

柔軟なパスワードマネージャー（Bitwarden、keepass、1Passwordなど）でパスキーを使うと、ユーザーにコントロールを与え続けるんだ。確かにそうだけど、記事を読めばその契約が変更される可能性があるってわかるはずだよ。パスキーの発行者がハードウェアバックのパスキーを要求することもあるし、実際にBitwardenに保存できないパスキーに出くわしたこともある（つまり、コンピュータ内のTPMバックストアを使わなきゃいけない）。最終的には、認証されたプラットフォーム上で動作する特定のTPMバックストアになるだろう。今はそうじゃないけど、間違いなくそれが最終的な目標だよ… 価値のあるサービスには、基本的にコントロールが効かないデバイスからしかアクセスできなくなる（例えば、X,Y,Zにアクセスする前に認証が必要なロックダウンされたOSなど）。だから、Netflixから盗んだり、YouTubeのスポンサーセグメントをスキップしたり、ウェブブラウザで広告をブロックしたりできなくなる。技術的な側面からこれがどう機能するかのプレビューが見たいなら、今の大規模なGPU展開でTEEがどう機能しているかを調べてみて。

└

柔軟なパスワードマネージャー（Bitwarden、keepass、1Passwordなど）でパスキーを使うと、ユーザーにコントロールを与え続けるんだ。そして、ユーザー体験はTOTPコードを入力するよりも劇的に簡単だよ。ここでのコメントを見てみて https://news.ycombinator.com/item?id=50049311 userVerification: requiredについて。1Passwordのパスキーは、以前はTOTPコードを入力するのと同じくらいか、少し難しいくらいだったけど（承認するためにクリックが必要だったり、ブラウザ拡張の自動入力や自動送信ができないサイトが多かった）、今は多くのウェブサイトがuserVerificationを要求するようになって、デスクトップではバイオメトリクスがないときにログインパスワードを入力しなきゃいけなくなった。フォーラムスレッド：https://www.1password.community/1password-at-home-31/user-ve...

パスキーだと、サイトが自分の情報をもっと知りたがってる気がする。パスキーを使うと、複数のアカウントを維持するのが難しくなる感じがする。パスワードの方が、何をサイトに貼り付けてるのか分かるから、匿名性が高いと思う。実際には、パスワードを生成する方法は自分で選ぶ必要があって、みんな違う方法を選んでるから、これは正しくないんだけどね。

└

私の理解では、TOTPと物理的なセキュリティキーは、あなたに関する情報をほとんど共有しない。もしかしたら、FIDOアライアンスが更新し続けている標準の一部であるパスキーは、将来的にかなり多くの情報を明らかにすることが期待されるかもしれない。そして、リモート認証が承認されたパスキー管理者の数が限られているため、いつかはその情報を自発的に提供するようになるかもしれない。

└

パスキーはランダムな公開鍵といくつかの機能ビットを提供するだけですが、ほとんどのパスワードログインはメールアドレスや電話番号を要求します。これは、古いメールやSMSを介したリセットダンスを促進することになるでしょう。現実的には、後者の方が漏洩しやすいです。

ヘッドラインが不快に感じることについて話すのが生産的かどうかは分からないけど、まあ、ヘッドラインだから言っておくよ。これは強い第一印象だからね。この文章の読者は、すでにパスキーを使っていて、それを気に入ってる人たちなのかな？もしそうなら、ここからスタートするのは不利だよね。著者は、私が大好きなパスキーを攻撃しようとしてるみたいで、これまでの時間と苦痛を救ってくれたのに。パスキーは完璧？いや、全然。ノンテクニカルなユーザーにとっては、非常に混乱すると思う。だけど、私のワークフローに関しては、ログインが面倒なパスワード+2FAの状況よりはパスキーの方がいいかな。セキュリティに関する議論はとても興味深いし、この記事には私が知らなかったことがたくさん書いてあった。ただ、ユーザーの立場から言うと、あまり気にしてないんだ。アカウントが適度に安全であれば、使いやすさやワークフローの方がずっと気になる。

└

対象は、まだパスキーを使っていない人や、最近始めたばかりの人（今や多くのウェブサイトが要求しているから）で、パスキーが何かよくわからない人たちです。見出しが挑発的で申し訳ないです。パスキーについてあまり知らない人にも、好きな人を遠ざけないようにどうアピールするか、ずっと考えていました。「トロイの木馬」と見出しに書こうかとも思ったけど（つまり、実際には素晴らしいけど、ひどくて明白でない問題がある）、コンピュータセキュリティでは「トロイ」という言葉には別の意味もあるからやめました。それでも、言いたいことは言いました。便利さが彼らを引き寄せるんです。この便利さは罠と一緒に来る必要はなかったけど、設計の仕方のおかげでそうなってしまいました。

└

使うまでは気にしないけど、間違ったApple Payのカードを使ったら、Appleがアカウントを無効にして、ログインできなくなるんだよね。だって、すべての鍵が今やリモートで使えなくなったiPhoneに入ってるから。これを「オープン」な体験にするには、AppleをGoogleに、PayカードをYouTubeのコメントに、iPhoneをAndroidに置き換えてみて。

パスキーについて長い間文句を言ってきたけど、ビッグテックやテクノロジーに詳しい人、一般の人たちが同じ意見を持ってるのがすごく気に障ってた。数ヶ月前の最近のPRキャンペーンは圧倒的だった。理論上、パスキーは素晴らしいけど、仕様の能力には不安がある。デフォルトは変更されることがあるし、そうなると99%の人がそれに従うことになる。そして、ハードウェアやソフトウェアが準拠していないせいでサービスからブロックされるか、妥協することになる。でも、逆に言えば、どうでもいいかもしれない。Apple、Google、Cloudflareはすでに似たようなゴミを押し進めていて、デスクトップを使うためにモバイルハードウェアを確認するQRコードをスキャンしなきゃならなくなってきてる。

Hacker Newsで議論の続きを見る