こう
- 「パスキーとは
何ですか。 パスワードより 何が 良いのですか」 - 「パスキーは
なぜフィッシングに 強いのですか」 - 「利用者が
スマホを なくしたら、 どうなりますか」
面接官が
- 公開鍵と
秘密鍵の 役目の 違いを、やさしく言えるか - 「便利」だけでなく、
何の 攻撃に 強いのかを言えるか - 端末を
なくした ときの 回復の 手段まで 考えているか
短い答え
- パスキーは、
利用者の 端末に ある 秘密鍵で ログインする 仕組みで、 サービスの サーバーには 対に なる 公開鍵だけを 置きます。 - ブラウザと OS が
正しい サービスに しか 使わせないので フィッシングに 強く、 サーバーから 漏れても 困る 秘密が 無く、 使い回しの 心配も ありません。 - そのかわり、
端末を なくした ときに どう 取り戻すかを、 先に 設計しておく 必要が あります。
少し
仕組み
パスキーは
- 秘密鍵 利用者の
端末 (や、 端末どうしで 同期する 仕組み) の 中に あり、 外に 出しません - 公開鍵サービスの
サーバーに 登録します。 見られても 困りません
ログインの
パスワードより良い所
- フィッシングに強い
パスキーは 登録した サービスと 結び 付いていて、 ブラウザと OS が その サービスに しか 使わせません。 そっくりの 偽サイトに 誘われても、 偽サイトでは 使えません - 漏れても困らない サーバーには
公開鍵しか 無いので、 サーバーから 盗まれても、 それで ログインは できません - 使い回しが無い
サービスごとに 別の 鍵が 作られます
端末を
パスキーには、
それでも
トレードオフ
回復の
よく
- 「指紋を
サーバーに 送って 確かめる」と言う 指紋や顔は 端末の 中で 本人を 確かめるのに 使うだけで、 サーバーには 送りません - パスワードの
置き換えなので 回復は 要らないと言う 端末を なく す人は 必ず出ます。 回復の 手段を 先に決めます - 2 段階認証と
同じだと言う パスキーは それ 1 つで、 持っている 物 (端末) と 本人の 確認 (指紋や 暗証番号) の 両方を兼ねます
深掘りの問い
- 「同期される
パスキーと、 端末に 縛られる パスキーは、 どう 使い 分けますか」 一般の 利用者には 使いやすい 同期型、 管理者の 権限のように 強さが 要る 所には 端末に 縛る 型、と答えます - 「パスワードは
どう 保存しますか」 パスキーと 並べて 使う間は、 パスワードを 専用の ハッシュの 方式で 保存する、と答えます - 「どうやって
移って もらいますか」 ログインの あとに パスキーの 登録を 勧める、と答えます