パスワードに代わる次世代のログイン手段として普及が進むパスキーを巡り、利用者が使える端末やソフトウェアの選択肢を将来的に狭める可能性があるとの懸念が浮上している。セキュリティ強化のための仕組みが、結果として企業による利用環境の制限につながりかねないという指摘だ。

GIGAZINEが13日付で報じたところによると、技術ブログ「Non-Functional」の執筆者であるThe Hackは、パスキーの安全性と利便性を評価する一方で、利用者の囲い込みにつながるリスクがあると問題提起した。

パスキーは、パスワードの代わりに指紋認証や顔認証、PINなどでログインする仕組みだ。Webサイト側には公開鍵を保存し、利用者の端末には秘密鍵を保管する。ログイン時に秘密鍵を外部へ送らないため、パスワード漏えいやフィッシングへの耐性が高いとされる。

今回の論点となっているのが「アテステーション（Attestation）」である。これは、パスキーを生成した認証器のメーカーや種類などを検証する機能で、Webサービス側は特定メーカーや特定の認証器で作成されたパスキーだけを受け付ける運用も可能になる。

The Hackは、こうした制限が広がれば、企業が承認していないOSやソフトウェアを使う利用者がサービスの利用を制限される可能性があると主張した。

もっとも、現時点で一般向けパスキーでこの種の制限が広く導入されているわけではない。AppleとGoogleの同期型パスキーは、認証器の出自を証明するアテステーションに対応していないという。

一方、Microsoftの法人向けサービス「Entra ID」では、管理者が認証器の種類を制限できる機能が提供されているとした。

これに対し、Hacker Newsでは別の見方も出ている。アテステーションは基本的にパスキーの登録時に求められる情報であり、いったん登録されたパスキーに対して後から同様の証明を求めることはできない、との指摘だ。

また、企業はパスキーがなくても、別の認証ポリシーによって利用環境を制限できるとの反論もある。

今回の議論は、パスキー自体のセキュリティ欠陥を問題視するものではない。むしろ、認証技術に対する企業側の管理権限が強まった場合、利用者の端末やソフトウェアの選択肢が狭まる可能性がある点に焦点が当たっている。