パスキー認証の鍵は誰が作る？秘密鍵と公開鍵の生成と配布の仕組み

パスワードに代わる認証方法として注目されるパスキー認証では、ユーザ側に秘密鍵、サーバ側に公開鍵が保持されます。しかし、これらの鍵は誰が作るのか、どのように配布されるのか疑問に思う方も多いでしょう。本記事では、パスキー認証における鍵の生成と登録プロセスをわかりやすく解説します。

秘密鍵と公開鍵の基本

パスキー認証は公開鍵暗号方式を利用しています。ユーザデバイスに秘密鍵が生成され、サーバには対応する公開鍵が保存されます。秘密鍵はデバイス内から外部に出ることはなく、安全に保持されます。

公開鍵はサーバに登録され、ユーザがログインする際に秘密鍵で署名した情報をサーバが公開鍵で検証する仕組みです。

パスキーの秘密鍵はユーザの端末（スマートフォンやPC）で自動生成されます。ユーザやサーバ側が手動で用意するわけではありません。生成はOSやブラウザが提供するセキュアなAPIを利用して行われ、安全性が確保されています。

例えば、iOSではKeychain、AndroidではKeystore、WebではWebAuthn APIを通じて秘密鍵が生成されます。

秘密鍵が端末で生成されると、その対応する公開鍵がサーバに送られ、ユーザアカウントに紐づけて保存されます。サーバ側は公開鍵を認証用に保持するだけで、秘密鍵は受け取らないため、セキュリティが保たれます。

このプロセスは登録時に自動で行われ、ユーザや会社の担当者が手動で鍵を作成する必要はありません。

各ユーザごとに秘密鍵と公開鍵のペアはユニークに生成されます。これにより、1つのアカウントが漏洩しても他のアカウントには影響が及ばない仕組みです。

生成された鍵は端末に保管されるため、デバイスを変更する場合は再登録や転送が必要です。

まとめると、パスキー認証の秘密鍵はユーザの端末で自動生成され、対応する公開鍵がサーバに登録されます。会社側は公開鍵を管理するのみで、鍵の生成や配布作業は基本的にユーザ端末とOS・ブラウザが担います。この仕組みにより、高い安全性を保ちながらパスワード不要の認証が可能となっています。