WebAuthnとは
ブラウザ経由でパスワードレス認証を実現するWeb標準
WebAuthnとは
WebAuthn(Web Authentication API)は、W3C(World Wide Web Consortium)が策定したWebブラウザ向けの認証標準だよ。パスワードを使わずに生体認証やセキュリティキーでログインするためのAPIで、FIDO2仕様の重要な構成要素なんだ。
技術的な仕組み
WebAuthnは公開鍵暗号を使った認証を行う。
- 認証器(Authenticator): デバイスの生体認証チップ、YubiKeyなどのハードウェアキー、スマートフォンなど
- リライングパーティー(RP): 認証を行うWebサービス側
- クライアント: ブラウザ
ブラウザのWebAuthn APIが認証器と通信して、サービス側との暗号学的な認証を仲介するんだ。
フィッシング耐性の秘密
WebAuthnが特に優れているのはフィッシング耐性だよ。登録時に指定したドメインと認証時のドメインが一致しないと認証されない仕組みになってる。偽サイトに誘導されても、WebAuthn認証は絶対に通らないんだ。
ブラウザのサポート状況
Chrome、Firefox、Safari、Edge のすべての主要ブラウザがWebAuthnをサポートしてるよ。スマートフォンのブラウザも対応済みで、指紋・顔認証でそのままログインできる環境が整ってきてるね。
パスワードとの併用期
現在は多くのサービスでパスワードとWebAuthnを併用している移行期だよ。将来的にはパスワードが不要な世界が来るかもしれないね。
作ったパスワードは頭で覚えるのではなく、マネージャーに任せると安全です。 編集部がふだん使っているサービスをご紹介します。
洗練されたUI・Watchtower侵害通知・旅行モード搭載。Apple製品ユーザーに特に人気の老舗マネージャー。
オープンソースで透明性が高く、無料プランでも基本機能をフルに使える。セルフホストも可能。
SOC2 Type2認証取得済み。BreachWatch によるダークウェブ監視と法人向け管理コンソールが強力。
NordVPN 系列の老舗。XChaCha20 暗号化・データ漏洩スキャナ・パスワードヘルスを内蔵。日本語UI対応。
スイス拠点・Proton Mail 系列。E2E 暗号化・メールエイリアス・2FA を1つに統合。プライバシー重視派に。