FIDO2 / パスキー
パスワードレスでフィッシングに強いログインを実現するオープン標準。登録時に暗号鍵ペアが作られ、秘密鍵は端末に残り、公開鍵だけがサービス側に保存される。「パスキー」はFIDO2の認証情報を使いやすくしたものだ。推進するのはFIDOアライアンス。
仕組みはこうだ。双方が知っていて漏れうる共有秘密（パスワード）の代わりに、チャレンジに秘密鍵で署名して本人を証明し、サービスは公開鍵で検証する。秘密鍵は端末の外に出ず、生体認証やPINでローカルに解除される。鍵はサービスのドメインに結びついているため、フィッシングに強い。偽サイトは有効な署名を騙し取れない（パスワードならどのサイトにも打ち込んでしまう）。FIDO2はWebAuthn（ブラウザAPI）とCTAP（セキュリティキーとのプロトコル）から成る。「パスキー」は、iCloudやGoogleアカウント経由で自分の端末間に同期されるFIDO2認証情報で、ハードウェアキーを失うと締め出されるという従来の問題を解決した。パスワードレス認証の技術的な土台である。