正解：イ
各選択肢の解説
ア複雑なパスワードを自動生成して保管するパスワード管理ソフトを配布する。
誤り。使い回しを避けつつ覚える負担を減らす道具で、有効な対策です。ただし ログインではパスワードを送るため、サービス側に預ける形は変わりません。
イ利用者の端末内に秘密鍵を保管し、サーバには公開鍵を登録するパスキーを使う。
正解。サーバはパスワードを預からないため、漏えいしても悪用できる値がありません。 本人確認は端末内の秘密鍵で行い、利用者はパスワードを覚える必要もなくなります。
ウログインのたびに変わる使い捨てのパスワードを、専用アプリで発行させる。
誤り。ワンタイムパスワードです。盗まれた値を再利用されない強い対策ですが、 通常は固定パスワードと併用するため、サーバ側が預かるパスワードは残ります。
エパスワードの入力に加えて、指紋の読み取りを求める多要素認証にする。
誤り。確認する要素の種類を増やして1回の認証を強める方式です。パスワードは 残るので、それが漏えいする危険自体は消えません。要素を足す対策です。
理解を深めるために
パスワードを「守る」のではなく「無くす」
パスワードの事故は、突き詰めるとほとんどが 「サービス側にも利用者側にも同じ秘密の文字列がある」ことから起きます。 サーバから漏れる、使い回した別のサイトから漏れる、偽サイトに入力してしまう。 どれも入力して送る値が存在するから成立します。
パスキーは、その値そのものを無くします。 登録時に対になる2つの鍵を作り、秘密鍵は利用者の端末内に置いたまま、 サーバには公開鍵だけを登録します。 ログインでは端末が秘密鍵を使って応答を作り、サーバは公開鍵で確かめます。 サーバにはパスワードが存在しないので、漏えいしても使える値がありません。
端末の指紋や顔は何をしているのか
パスキーの利用時に指紋や顔を読み取るのは、 端末の中にある秘密鍵を取り出してよいかを確かめるためです。 生体情報がサーバに送られるわけではありません。 パスキーは、FIDOアライアンスが標準化した仕組みをもとに、 スマートフォンやパソコンのOSやブラウザに広く実装されています。
「パスワードを守る策」との違い
| 対策 | パスワードは |
|---|---|
| パスキー | 使わない（サーバに預けない） |
| パスワード管理ソフト | 残る（強くして安全に保管する） |
| ワンタイムパスワード | 残る（毎回使い捨ての値にする） |
| 多要素認証 | 残る（別の要素を足して補強する） |
見分け方は単純です。パスワードが残るかどうか。 「パスワードレス」「フィッシングに強い」「サーバに秘密を預けない」が そろって出てきたら、パスキーを選びます。