FIDO2・パスキーとは？

FIDO2・パスキーの意味

端末内に生成した秘密鍵とサーバに登録した公開鍵で認証する、パスワードを送らない方式。秘密鍵の利用は端末側の生体認証やPINで解錠する。共有秘密がサーバに存在しないため、DB漏えいによる成りすましやフィッシングが原理的に成立しにくい。

FIDO2・パスキーの具体例

ログイン時、サーバが送ったチャレンジ値に端末が秘密鍵で署名して返す。署名対象には接続先のドメイン情報が含まれるため、偽サイトへ誘導されても署名が一致せず、利用者が気づかなくても認証が通らない。

FIDO2・パスキーは試験でどう引っ掛けられる？

端末の生体認証はあくまで秘密鍵を使う許可の確認で、生体情報がサーバへ送られるわけではない。またパスワードレスといっても端末紛失時の回復手段は別途必要で、そこがパスワードに戻ると全体の強度がそこまで落ちる。

FIDO2・パスキーと関連する用語

• 生体認証とFRR・FAR
• 多要素認証とリスクベース認証

FIDO2・パスキーが出た過去問

• あるIdP(Identity Provider)は,パスキー(Passkey)認証をサポートしており,利用者Aは,このIdPのFIDO認証器として,自分のスマー…

  正解：利用者AのWebブラウザ:受信しない / WebサーバB:受信しない / IdP:受信しない

  要点：FIDOでは生体情報は認証器内に留まり署名だけが外へ出る

  FIDOやパスキーの設計思想は、生体情報を認証器(この場合はスマートフォン)の内部だけに保持し、ネットワークへは一切送出しないことにある。認証器はローカルで生体照合を行い、成功したときだけ内部の秘密鍵でチャレンジに署名し、その署名だけをサーバ側へ渡す。したがってブラウザ・WebサーバB・IdPのいずれも生体情報を受信せず、アが正しい。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）