多要素認証・パスキー・生体認証・認証アプリの違い｜設定と機種変更の確認ポイント

ログインするときに表示される「パスキーを作成」「２段階認証を有効にする」「認証アプリで確認する」という案内。セキュリティのために設定したいと思っても、それぞれの違いが分からず、後回しにしていませんか。

多要素認証は本人確認の組み合わせ方、パスキーは暗号鍵を使うログインの仕組み、生体認証は指紋や顔などで確認する方法、認証アプリは確認コードの生成や承認などを行うアプリです。同じ意味の言葉ではなく、組み合わせて使われることがあります。

この記事では、４つの言葉の違いと、個人のアカウントで確認したい設定を整理します。機種変更や端末の紛失に備え、ログインできなくなった場合の復旧方法も一緒に確認しましょう。

１．多要素認証・パスキー・生体認証・認証アプリを比較する

まず、それぞれが何を指す言葉なのかを分けて考えます。「顔認証で入れた」「６桁の数字を入力した」という操作だけでは、そのサービスがどの仕組みで認証しているかまでは判断できません。

例えば、パスキーを使う際に、スマートフォンで指紋認証を求められることがあります。この場合、指紋そのものをログイン先へ送るのではなく、端末上で本人を確認して、パスキーによる認証を進めます。

２．多要素認証は「異なる種類の要素」を組み合わせる

認証要素は、大きく「知っているもの」「持っているもの」「本人の特徴」の３種類に整理できます。多要素認証では、このうち異なる種類の要素を組み合わせます。

パスワードに加え、登録済みの認証アプリが生成するコードを確認する方法は、多要素認証の代表例です。コードを入力するという操作でも、そのコードを生成できる認証情報を保持していることを確認するため、単なる「もう一つの覚えた番号」とは役割が異なります。

２段階認証と二要素認証は、着目する点が違う

「２段階」は確認の手順、「二要素」は認証に使う要素の種類に着目した言葉です。パスワードと秘密の質問を順に答えるだけなら、どちらも知識に基づくため、それだけで異なる２種類の要素を使ったことにはなりません。

ただし、サービスの機能名では「２段階認証」と表記されていても、実際には異なる要素を組み合わせている場合があります。名称だけで判断せず、設定した確認方法を見てください。

１台のスマートフォンでも、複数の要素を使える

多要素認証のために、必ず２台の機器が必要というわけではありません。例えば、暗号鍵を保持する端末と、その鍵を使う際のPINや生体認証を組み合わせる方式があります。

大切なのは、機器の数ではなく、どの要素がどのように確認されるかです。一方で、１台に認証手段を集中させる場合は、その端末をなくしたときの復旧方法も用意しておく必要があります。

３．パスキーは、数字のコードを入力する仕組みではない

パスキーは、公開鍵と秘密鍵の組み合わせを使う認証情報です。利用先には公開鍵を登録し、ログイン時には、端末や認証器などが管理する秘密鍵を使って認証処理を行います。秘密鍵そのものをログイン先へ送る必要はありません。

利用者は、指紋・顔・端末のPINなどで、その認証情報の使用を許可します。サービスに対応したパスキーを登録すると、パスワードを入力せずにログインできる場合があります。

パスキーと、端末のPINは別のもの

パスキーを使う際に入力するPINは、パスキーそのものではありません。端末や認証器で本人確認を行い、保存された認証情報を使うためのものです。

顔や指紋を利用できない場合でも、対応する環境ではPINなどを使えます。「パスキーを使うには、必ず顔や指紋を登録しなければならない」とは限りません。

フィッシングへの耐性がある

パスキーは利用先のサイトと結び付く仕組みを持ち、別の偽サイトで同じ認証情報を使わせる攻撃への耐性があります。パスワードや確認コードを、利用者が偽サイトへ入力してしまう場合とは異なる保護です。

ただし、端末の乗っ取り、ログイン済みの状態の悪用、復旧手続きへの攻撃まで、すべて防ぐわけではありません。パスキーを設定した後も、端末の更新、画面ロック、ログイン履歴の確認を続けましょう。

パスキーを使えば、必ず多要素認証になる？

パスキーでの認証に、PINや生体認証による利用者確認を必須として組み合わせる場合、所持要素と知識要素または生体要素を使う多要素認証になります。画面上では短い操作でも、複数の要素を確認できます。

一方、利用者確認を求めるかなどは実装によって異なります。「パスキー」という名称だけで、すべてのサービスが同じ認証条件を満たすと判断しないことが大切です。

４．生体認証は、どこで何を確認しているかを見る

生体認証は、指紋や顔などの特徴を使って本人を確認する方法です。スマートフォンのロック解除、アプリを開く操作、パスキーを使ったログインなど、複数の場面で利用されます。

端末のロックを顔認証で解除できることと、各サービスでパスキーや多要素認証が有効になっていることは別です。普段使うサービスのアカウント設定を開き、ログイン方法が実際に登録されているか確認してください。

パスキーでは、生体情報をログイン先へ渡さない

FIDOのパスキーで利用する生体認証は、端末側で処理されます。ログイン先に指紋や顔のデータを送って照合する仕組みではありません。

ただし、本人確認書類と顔写真をアップロードする手続きなどは別の仕組みです。「生体認証」という言葉があるだけで、どのサービスでも顔の情報が外部へ送られないとは判断できません。

端末のPINも適切に管理する

生体認証を使っていても、代替手段としてPINやパスコードが使われる場合があります。端末を他人へ渡す場面や、画面ロックを解除する番号を見られる場面にも注意してください。

家族などと共用している端末では、誰がロックを解除でき、誰の認証情報を使えるかを確認します。個人用アカウントのパスキーを、共用端末へ安易に保存しないようにしましょう。

５．認証アプリの確認コードと、パスキーを区別する

認証アプリには、一定時間ごとに変わるコードを表示する方式や、通知を受け取ってログインを承認する方式があります。アプリ名だけではなく、利用している方式を確認しましょう。

時間で変わる６桁の数字は、一般に確認コード

認証アプリに表示される、時間で切り替わる６桁などの数字は、多くの場合、TOTPと呼ばれる時刻に基づくワンタイムパスワードです。これは「自動更新されるパスキー」ではありません。

TOTPでは、事前に登録した秘密情報と時刻を使ってコードを生成します。設定済みのアプリは、通常、コードの生成自体に通信を必要としません。ただし、ログイン先のサービスへアクセスするには通信が必要です。

アプリを入れるだけでは、設定は終わらない

認証アプリをインストールした後、利用したいサービスのセキュリティ設定で、そのアプリを登録する必要があります。TOTPの場合は、登録用のQRコードを読み取り、表示された確認コードをサービス側へ入力するなどして設定を完了します。

TOTPの登録用QRコードや設定キーは、秘密の認証情報です。他人に共有したり、質問用のスクリーンショットやAIへの添付画像に含めたりしないでください。同じコードを生成できる情報が渡るおそれがあります。

確認コードは、偽サイトにも入力できてしまう

認証アプリのコードを追加すれば、パスワードだけが盗まれた場合の対策になります。しかし、偽サイトへコードまで入力させ、その有効時間内に悪用する攻撃には注意が必要です。

「有効期限が短いから、どこに入力しても安全」ということではありません。ログインは、普段使っている公式アプリや、確認済みの公式サイトから始めてください。

心当たりのない承認通知は、許可しない

通知を承認する方式では、自分が始めていないログイン要求を許可しないことが基本です。何度も通知が届いても、止めるために承認してはいけません。

番号照合がある方式でも、自分が操作している画面との対応を確認します。番号照合は誤承認を減らす対策になりますが、パスキーと同じフィッシング耐性を持つわけではありません。

６．自分のアカウントでは、何から設定する？

まずは、普段使うメールと、他のアカウントの復旧に使っているアカウントから確認しましょう。仕事や学校のアカウントでは、組織が指定する認証方法と管理ルールに従います。

次の表は、個人のアカウントで設定を選ぶ際の確認例です。利用できる方法、端末、復旧手段を合わせて判断してください。

SMS認証にも、パスワードだけの状態から保護を追加する意味があります。ただし、SMSや認証アプリのコードは、パスキーと同等のフィッシング耐性を持つわけではありません。より強い方法に対応している場合は、移行を検討しましょう。

設定は、動作確認まで行う

1. 公式アプリや確認済みの公式サイトから、セキュリティ設定を開く。
2. 利用できる認証方法と、その復旧方法を確認する。
3. 自分が管理する端末や認証アプリを登録する。
4. バックアップコードや予備の認証手段を、サービスの案内に沿って用意する。
5. 現在ログインできる環境を残したまま、追加した方法でログインできるか確かめる。
6. 必要な認証手段を確保したうえで、古い登録情報を整理する。

「登録済み」と表示されることと、必要な場面で自分が使えることは別です。設定直後に一度確認し、どの端末・アプリを使ったかも把握しておきましょう。

７．機種変更・紛失に備えて、復旧方法を用意する

認証を強化するときは、「他人を入れないこと」と「自分が必要なときに入れること」の両方を考えます。スマートフォンをなくしてから、移行や復旧の条件を初めて調べる状態は避けたいところです。

パスキーの保存先を確認する

パスキーには、プロバイダーを通じて複数端末へ同期されるものと、特定の端末やセキュリティキーに保持されるものがあります。すべてが同じ方法で移行できるわけではありません。

保存先のアカウントに新しい端末からアクセスできるか、別の端末やセキュリティキーを登録できるかを確認します。同期を利用する場合は、その同期用アカウントの認証と復旧も重要です。

認証アプリは、新端末で確認してから旧端末を消す

認証アプリの移行方法は、アプリや設定によって異なります。同期機能、移行機能、各サービスでの再登録など、公式の手順を確認してください。

新しい端末で必要なアカウントにログインできることを確認するまで、古い端末の初期化や認証情報の削除を急がないでください。移行後は、古い端末に残った情報や、サービス側の登録も整理します。

バックアップコードを、閉じ込められる場所だけに置かない

バックアップコードを発行できるサービスでは、通常の認証方法を使えない場合の備えになります。例えばGoogleでは、使用したコードは無効になり、新しいセットを発行すると古いセットも無効になります。

保存場所も確認してください。ログインできなくなったアカウントの中にしかコードがないと、必要なときに取り出せません。安全に保管した紙など、端末を失っても自分がアクセスできる方法を検討します。

復旧手段を増やすだけでなく、古い電話番号や使っていないメールアドレスが残っていないかも見直しましょう。復旧の入口も、アカウントを守る仕組みの一部です。

８．よくある質問

パスキーを設定したら、パスワードは消えますか？

サービスによって異なります。例えばGoogleアカウントでは、パスキーを追加しても、既存の認証要素や復元要素は自動的に削除されません。別のログイン方法が残る場合は、その方法も適切に管理してください。

パスキーでログインすると、追加の確認コードが出なくても大丈夫ですか？

利用者確認を伴うパスキーで、必要な認証を満たす構成があります。Googleでも、パスキーを使用すると２つ目の手順を省略する場合があります。確認画面の多さではなく、そのサービスの認証方式を確認しましょう。

認証アプリのコードが通らないときは？

対象のサービス・アカウントを取り違えていないか、有効時間を過ぎていないか、端末の時刻設定に問題がないかを確認します。解決しない場合は、用意した予備の認証方法や公式の復旧手順を利用してください。

心当たりのない通知が届いたら、どうしますか？

要求を承認せず、通知内の誘導に従う前に、公式アプリなどからログイン履歴と認証設定を確認します。不審なアクセスがあれば、公式の保護手順に沿って対応し、仕事や学校のアカウントなら管理担当者へ連絡してください。

９．今日確認するアカウントを１つ決める

最初からすべてのサービスを一度に変更する必要はありません。まずは普段使うメールアカウントを１つ選び、現在のログイン方法と、端末を失った場合の復旧方法を確認してみましょう。

• パスワードだけでログインできる状態になっていないか。
• パスキーや認証アプリに対応しているか。
• 登録した認証方法で、実際にログインできるか。
• 確認コード・登録用QRコード・バックアップコードを他人へ渡していないか。
• 機種変更や紛失時に、別の方法で復旧できるか。
• 使わなくなった端末や連絡先が残っていないか。

認証の設定は、機能を有効にしたところで終わりではありません。普段の使い方と、使えなくなった場合の備えまで確認することで、自分が管理できる対策にしていきましょう。

参考資料

• NIST：多要素認証の定義
• NIST：Authenticator and Verifier Requirements
• FIDO Alliance：パスキーの仕組みとFAQ
• CISA：フィッシング耐性のある多要素認証
• Google：パスワードの代わりにパスキーでログインする
• Google：認証システムで確認コードを取得する
• Google：バックアップコードを使用してログインする