Apple、Google、Microsoftがパスキーをデバイス間で同期可能に――プラットフォームの垣根を越えて

2022年までに、パスワードはインターネット上で最も記録の多いセキュリティ上の穴となっていた。TechCrunchが引用したVerizonの年次侵害報告書によれば、弱く推測されやすい認証情報がデータ侵害の80%以上に関与していた。FIDOアライアンスとW3Cは2018年から技術的な答えを持っていた。WebAuthnは、ユーザーのデバイス上で生成された鍵ペアで各サイトに署名する仕組みで、サーバーは盗む価値のある秘密を保持せず、フィッシングページは何も得られない。しかし、パスワード不要のサインインは企業向けセキュリティキーのニッチな領域にとどまっていた。

障壁は暗号技術ではなく、運用上の手間だった。FIDO認証情報は1台のデバイスに存在し、新しいスマートフォンやノートPCごとにウェブサイト単位で再登録しなければならなかったため、3台のデバイスを持つ普通の人なら決して手間をかけようとはしなかった。2022年5月5日の世界パスワードデーの日、Apple、Google、Microsoftはまさにこの問題を1年以内に解決すると共同で約束した。パスキーはユーザーのデバイス間で同期され、スマートフォンで近くのコンピューター上のアプリにサインインでき、全体がmacOS/Safari、Android/Chrome、Windows/Edgeをまたいで機能する――iPhoneのパスキーでWindows PC上のChromeにログインできるのだ。

2か月後、WWDCでAppleはパスキーをiOS 16とmacOS Venturaのベータ版に搭載し、この機能にアイコンまで用意した。そして2022年8月、Microsoftのアイデンティティ担当バイスプレジデントであるAlex Simonsは3つ目の要素を確認した。3社すべてが「FIDO認証」ではなく、一般名詞の「パスキー」を使うというのだ。こうして一般ユーザーは、誰のデバイスを持っていても1つの名前に出会うことになった。誰もこの言葉をブランドとして主張しなかった。

これがうまくいった理由は、3社の競合他社がFIDO標準を所有しているわけではないが、その流通を握っているからだ――オペレーティングシステム、ブラウザ、そしてすでに数十億台のデバイス上にある認証情報のクラウドである。同時多発的なクロスプラットフォームのコミットメントにより、4年間停滞していたプロトコルが、人々が実際に手にすることになる機能へと変わった。CISA長官のJen Easterlyは、この動きがサイバーセキュリティのベースラインを引き上げるものだと公に支持した。

認証情報をパスワードのように同期させる――フィッシング耐性は維持したまま

従来のFIDO導入モデルはデバイスごと、サイトごとの再登録を必要とし、複数デバイスを持つ消費者なら決して行わないようなものだった。クラウド同期はそのコストをゼロにしつつ、フィッシング耐性を保った。

3社のプラットフォームベンダーが一斉にコミットしたため、どのユーザーも独自仕様のパスワードレス・サイロに直面しなかった――サイロ問題こそが、以前の単一ベンダー方式を潰した原因である。

「パスキー」を単なる一般名詞として合意したことで、標準に消費者向けの単一の名前が与えられた。技術標準の最後の一マイルは語彙なのだ。

スマートフォンをローミング認証器として使うことで、古いノートPCでもハードウェアセキュリティキーを購入せずに採用できた。

標準が停滞したときは、仕様ではなく登録フローを読むべきだ。2018年のプロトコルは完成していた。2022年に重要だったのは同期、一度の共同ローンチ、そしてわかりやすい名前だった。流通こそが堀だった。

AppleはWWDC 2022でパスキーを実演し、その夏にiOS 16とmacOS Venturaのベータ版で提供した。GoogleはAndroidの開発者ツールが「2022年末に向けて」公開されると述べた。Microsoftは「近い将来」にスマートフォンのパスキーによるMicrosoftアカウントのサインインを実現すると約束した。2022年8月までに3社は「パスキー」という名称でも一致し、CISA長官はこの共同の約束を、米国のセキュリティベースラインを引き上げるマイルストーンだと評した。