クラウド型IDaaSサービスを提供するOktaは2024年4月26日、記者説明会を開催し、Webサービスやアプリケーションにおけるパスワードレス認証「パスキー」の導入とそれによる顧客体験の向上について解説した。
Okta Japanの池原氏はまず、ユーザーが日々のオンラインサービス利用において直面するパスワードの課題を説明した。Oktaが2023年に実施した調査によると、回答者の65%（日本では68%）が管理しなければならないユーザー名とパスワードの数に圧倒されていると回答。さらに39%（日本では33%）がユーザー名やパスワードを忘れてログインできないことが月に1回以上あると回答したという。池原氏は「ログインをするという行為に対して、ユーザー様はいろいろな障壁や不満を感じられている」と指摘。
また、パスワードに代わる認証方式では、SMS、メール、ワンタイムパスコードなどを利用する多要素認証（MFA）は一定のセキュリティ向上効果はあるものの、ユーザーの利便性を損なうデメリットがあると池原氏は指摘する。そこで注目されているのが「パスキー」機能だ。
公開鍵暗号方式を用いたセキュアなパスワードレス認証「パスキー」
パスキーはFIDOアライアンスが策定した仕様に基づくパスワードレス認証だ。公開鍵暗号方式を用いることで、サーバー側には公開鍵のみが保存され、秘密鍵はユーザーのデバイスにのみ保存される。これによりサーバーから認証情報が流出するリスクを大幅に減らせるという。
「万が一サーバー側から公開鍵が流出してしまう事態になったとしても、それを使って悪意あるものが認証を突破するということの危険性は低くなっていきます」（池原氏）
また、事前に登録されたユーザーアカウントとウェブサイト・アプリのIDと紐付けられているため、フィッシングサイトへのログインを防止できるのも特長だ。
ユーザーにとってもメリットは大きい。池原氏は「たとえばスマートフォンを使った場合、ロック解除に使っている暗証番号や生体認証を使ってログイン認証ができるので、ユーザーは摩擦のない認証体験ができる」と説明。さらに「一度登録した認証情報はクラウドサービスを介して複数のデバイス間で同期できるので、新たにデバイスごとに認証情報を登録する必要がない」とも語った。
池原氏はパスキーには大きく2種類あると説明した。1つはセキュリティキーなど特定のデバイスに紐づけられ、他のデバイスとは共有できない「デバイス固定パスキー」。もう1つは、クラウドサービスを介して異なるデバイス間で共有・同期できる「同期パスキー」だ。
「それぞれのセキュリティ要件に合わせて、どちらを使うか、あるいはどちらかに制限するかを検討することになるでしょう」（池原氏）
また、同期パスキーに関しては、米国国立標準技術研究所（NIST）がガイドライン（NIST SP 800-63B）の補足文書を4月に公開。認証保証レベルのレベル2（AAL2）を満たすための条件などが示されているということから、日本でも同期パスキーの導入に向けた検討が進むことが期待されると池原氏。
開発・運用コスト削減とユーザー体験向上を両立する「Okta Customer Identity Cloud」
そうした課題を解決し、開発者の負担を減らしつつ、ユーザーにとって使いやすく安全な認証を提供するのがOktaの「Okta Customer Identity Cloud」だ。池原氏は、同製品の「Universal Login」機能を用いることで、ログインUIの構築や認証処理をOktaに任せることができ、開発コストとメンテナンスコストを大幅に下げられると説明した。
さらに、パスキーやソーシャルログインなど新しい認証方式への対応も容易で、管理画面の設定変更だけで簡単にパスキーを有効化でき、アプリ側の実装をほとんど変更する必要がないことも特長だ。
加えて、同製品では既存のユーザーに対してパスキーの利用を促したり、ログイン時のUIをカスタマイズしたりと、パスキーの導入におけるユーザー体験の最適化を支援する機能も提供。アカウントリカバリーのためのリセット機能など、運用面でのサポートも充実している。
「Okta Customer Identity Cloudのパスキー機能を使用することで、実装・保守運用のコスト低減と、ユーザーのセキュリティ・利便性の向上を同時に実現できる」と池原氏は述べた。
