パスキー移行の現実 - 企業と個人が直面する互換性の壁
この記事は約 11 分で読めます
パスワードに代わる認証手段として注目されるパスキー (FIDO2/WebAuthn) は、フィッシング耐性と利便性を両立する技術として急速に普及が進んでいます。FIDO Alliance の 2024 年調査によると、パスキーに対応するサービスは前年比で 50% 以上増加し、Google、Apple、Microsoft の主要 3 社がすべてパスキー同期に対応しました。しかし、実際の移行現場では「対応しているはずなのに使えない」「デバイスを替えたら認証できなくなった」といった互換性の問題が頻発しています。本記事では、2025 年時点でのパスキー移行の現実を技術的に分析し、企業と個人それぞれが直面する課題と、現実的な段階的移行ロードマップを提示します。移行期間中はパスつく.com で生成した強力なパスワードを併用し、認証の空白期間を作らないことが重要です。
結論 - パスキー移行は「全か無か」ではない
パスキーへの完全移行を一気に進めようとすると、互換性の壁に阻まれて頓挫するケースが多発しています。現実的なアプローチは、パスキーとパスワードを併用するハイブリッド期間を設け、対応サービスから段階的に移行することです。パスキー非対応のサービスには、パスつく.com で生成した 20 文字以上のランダムパスワードと二段階認証を組み合わせて防御してください。完全なパスワードレス環境の実現には、業界全体の標準化がさらに進む 2027 年頃まで時間がかかると見込まれます。
パスキーの技術的仕組み
FIDO2/WebAuthn の認証フロー
パスキーは FIDO2 標準に基づく公開鍵暗号方式の認証技術です。従来のパスワード認証がサーバーに秘密情報 (パスワードハッシュ) を保存するのに対し、パスキーではサーバーには公開鍵のみが保存され、秘密鍵はユーザーのデバイス内に安全に格納されます。認証時には、サーバーがチャレンジ (ランダムなデータ) を送信し、デバイス側が秘密鍵で署名して返送します。サーバーは公開鍵で署名を検証するため、秘密情報がネットワーク上を流れることがありません。この仕組みにより、フィッシングサイトに認証情報を入力してしまうリスクが原理的に排除されます。WebAuthn API はブラウザに実装されており、認証リクエストのオリジン (ドメイン) を暗号的に検証するため、正規サイトを装った偽サイトでは認証が成立しません。
プラットフォーム間のパスキー同期
2024 年以降、Apple (iCloud キーチェーン)、Google (Google パスワードマネージャー)、Microsoft (Windows Hello) の 3 社がそれぞれ自社エコシステム内でのパスキー同期に対応しました。Apple デバイス間では iCloud キーチェーン経由で、Android デバイス間では Google パスワードマネージャー経由で、パスキーが自動的に同期されます。しかし、ここに最大の課題があります。Apple で作成したパスキーを Android に持ち出す、あるいはその逆を行う標準的な方法が、2025 年 4 月時点でまだ確立されていません。FIDO Alliance は 2024 年にクロスプラットフォーム転送のための Credential Exchange Protocol (CXP) と Credential Exchange Format (CXF) のドラフト仕様を公開しましたが、主要プラットフォームへの実装は 2025 年後半以降になる見込みです。
パスキーの技術的な仕組みをより深く理解するには、FIDO2 認証の技術解説書 (Amazon)も参考になります。
2025 年時点の主要サービス対応状況
パスキー対応は急速に進んでいますが、サービスごとの実装レベルには大きな差があります。Google、Apple、Microsoft のアカウントはパスキーをプライマリ認証として利用可能で、パスワードレスログインに完全対応しています。Amazon、PayPal、GitHub、Shopify なども対応済みですが、一部はパスキーを二要素認証の一手段として位置づけており、パスワード自体の廃止には至っていません。日本国内では、Yahoo! JAPAN が 2023 年からパスキー対応を開始し、NTT ドコモの d アカウントも 2024 年に対応しました。一方、多くの国内銀行や行政サービスはパスキー未対応のままです。Passkeys.directory の集計によると、2025 年 3 月時点でパスキーに対応するサービスは世界で約 400 件ですが、日常的に利用するサービスの大半はまだパスワード認証が必須です。
企業が直面する移行の課題
レガシーシステムとの統合
企業のパスキー移行における最大の障壁は、レガシーシステムとの統合です。多くの企業アプリケーションは依然として LDAP や Active Directory ベースのパスワード認証に依存しており、FIDO2 対応を追加するには認証レイヤーの改修が必要です。特に金融や医療などの業界では、メインフレームや古いミドルウェア上で稼働する基幹システムが WebAuthn に対応できないケースが多く見られます。Gartner の 2024 年調査によると、従業員 1,000 人以上の企業のうち、社内システムへのパスキー導入を完了したのはわずか 15% で、60% がレガシーシステムとの統合を最大の障壁として挙げています。現実的なアプローチは、FIDO2 対応の SSO アイデンティティプロバイダー (IdP) を導入し、レガシーシステムへのブリッジとして機能させることです。個々のシステムを改修するのではなく、認証の入口を一元化する戦略が有効です。
ユーザー教育とサポートコスト
パスキーの概念は技術者にとっては直感的ですが、一般ユーザーにとっては「パスワードを入力しないのにログインできる」という体験が不安を生むことがあります。Hypr の 2024 年調査では、パスキーを導入した企業の 42% が「ユーザーからの問い合わせが一時的に増加した」と報告しています。特に多いのは「パスキーを設定したのにパスワードを求められる」(サービス側のフォールバック動作)、「新しいデバイスでパスキーが使えない」(同期の遅延や未対応)、「パスキーを削除してしまった場合の復旧方法が分からない」といった問い合わせです。企業は移行前にヘルプデスクの対応マニュアルを整備し、段階的なロールアウトで問い合わせの集中を分散させる必要があります。
個人ユーザーが直面する課題
デバイス紛失時の復旧問題
パスキーの最大のリスクは、秘密鍵を保持するデバイスを紛失した場合の復旧です。パスワードであれば「忘れた場合」のリセットフローが確立されていますが、パスキーの場合はデバイスそのものが認証の鍵となるため、復旧の難易度が格段に上がります。iCloud キーチェーンや Google パスワードマネージャーによるクラウド同期を利用していれば、新しいデバイスにサインインするだけでパスキーが復元されます。しかし、クラウド同期を無効にしている場合や、プラットフォームをまたぐ移行 (iPhone から Android への乗り換えなど) では、すべてのパスキーを再登録する必要があります。FIDO Alliance の調査では、パスキーユーザーの 23% が「デバイス紛失時の復旧手順を把握していない」と回答しており、この認知ギャップが普及の障壁になっています。
家族やチームでのアカウント共有
パスワードは (推奨されないものの) 家族間で共有できましたが、パスキーは生体認証やデバイス PIN に紐づくため、本質的に共有が困難です。動画配信サービスの家族アカウントや、小規模ビジネスの共有アカウントなど、現実にはアカウント共有のニーズが存在します。Apple は 2024 年に AirDrop 経由でのパスキー共有機能を導入しましたが、これは Apple デバイス間に限定されます。1Password や Dashlane などのサードパーティパスワードマネージャーはパスキーの保存と共有に対応し始めていますが、サービス側がサードパーティ製パスキーストレージを許可していない場合は利用できません。この問題は、パスキーの設計思想 (個人に紐づく認証) と現実のユースケース (共有アカウント) の根本的な矛盾であり、短期的な解決は困難です。
段階的移行のロードマップ
フェーズ 1: 主要アカウントへのパスキー登録 (今すぐ)
Google、Apple、Microsoft アカウントなど、パスキーに完全対応しているサービスから登録を開始してください。これらのサービスはパスキーとパスワードの併用が可能なため、パスキーを追加しても既存のログイン方法が無効になることはありません。パスキー登録後も、パスつく.com で生成した強力なパスワードをバックアップ認証手段として維持してください。パスキーが何らかの理由で使えない場合のフォールバックとして機能します。
フェーズ 2: パスワードマネージャーの統合 (1-3 か月)
パスキーの保存に対応したパスワードマネージャー (1Password、Dashlane、Bitwarden など) を導入し、パスキーとパスワードを一元管理してください。サードパーティのパスワードマネージャーは Apple、Android、Windows をまたいで動作するため、クロスプラットフォームの問題が解消されます。既存のパスワードをすべてパスワードマネージャーに移行し、パスつく.com で各サービスに 16 文字以上の固有パスワードを生成してください。
フェーズ 3: パスワードレスへの段階的移行 (6-12 か月)
パスキー対応サービスが増えるにつれて、パスワードを無効化できるサービスから順次パスワードレスに移行します。ただし、すべてのサービスでパスワードを廃止するのは 2025 年時点では現実的ではありません。パスキー非対応のサービスには引き続きパスつく.com で生成した強力なパスワードと二段階認証を組み合わせて利用してください。CXP/CXF 仕様の実装が進む 2026 年以降、クロスプラットフォーム移行が容易になれば、パスワードレス環境への本格移行が現実味を帯びてきます。
今すぐできること
- Google アカウントのセキュリティ設定でパスキーを登録する (設定 → セキュリティ → パスキーとセキュリティキー)
- パスつく.com でパスキー非対応サービスのパスワードを 16 文字以上に更新する
- Passkeys.directory で利用中のサービスのパスキー対応状況を確認する
- パスキーの復旧手段 (クラウド同期の有効化、バックアップ認証方法) を確認しておく
- 二段階認証を全アカウントで有効にし、SMS ではなく認証アプリを優先する
よくある質問
- パスキーを設定したらパスワードは不要になりますか？
- 多くのサービスではパスキー設定後もパスワードが残ります。パスキーはログインの優先手段として機能しますが、デバイスの紛失やパスキーの不具合に備えて、パスワードをバックアップとして維持することを推奨します。パスつく.com で 16 文字以上の強力なパスワードを設定しておけば、パスキーが使えない場合でも安全にログインできます。
- iPhone から Android に機種変更するとパスキーはどうなりますか？
- 2025 年 4 月時点では、iCloud キーチェーンに保存されたパスキーを Android に直接移行する標準的な方法はありません。各サービスで新しい Android デバイスにパスキーを再登録する必要があります。1Password などのサードパーティパスワードマネージャーを使えばクロスプラットフォームでパスキーを管理できますが、サービス側の対応が必要です。FIDO Alliance の CXP/CXF 仕様が実装されれば、この問題は解消される見込みです。
- 企業でパスキー導入を検討していますが、どこから始めるべきですか？
- まず SSO (シングルサインオン) の IdP が FIDO2 に対応しているか確認してください。IdP がパスキーに対応していれば、個々のアプリケーションを改修せずにパスキー認証を導入できます。次に、IT 部門の少人数でパイロット運用を行い、ヘルプデスクへの問い合わせパターンを把握してから全社展開してください。移行期間中は全アカウントに強力なパスワードと二段階認証を維持することが重要です。