Back

@zundan https://www.passkeycentral.org/introduction-to-passkeys/passkey-security#multi-factor-authentication にあるとおり、passkeyは多要素認証と認識しています。件の文章はメールによる二要素認証を2FAと書いて対比しているのでpasskeyが単要素認証のようにみえますが……。

@omasanori 僕には複雑すぎて試してすらいなくて申し訳ないのですが、指紋認証のないYubiKeyをPasskeyの認証器として登録することができるサービスが存在して、その場合にはYubiKeyをUSBポートに挿入してYubiKeyのボタンを押すだけで認証が成立しちゃいそうに僕には見えています…

@zundan 試しにGitHubでYubiKeyを2FAとpasskeyで設定したのですが、passkeyとして設定する場合のみPINの設定を求められました。（PINの設定UIはウェブサービスではなくブラウザのUI）

@omasanori なるほどなるほど！ありがとうございます！お手数をかけてしまってすみません！

全てのサービスでPasskeyの登録にPINを要求することが分かれば僕でも安心してYubiKeyをPasskeyに使えそうです。

@zundan サービス提供者はpasskey登録時（鍵対の生成時）に多様素認証を要求するオプションつきでAPIを呼ぶことを忘れないようにしないとユーザーに単要素認証で登録される可能性があります。これはサービス提供者がパスワードを不適切な形で保存するのと同様で、passkeyの問題というよりはそのサービスの問題だと思います。

@omasanori @zundan 後発なのに単要素認証を積極的に選択肢として残してる時点で、自分はPasskey自体の問題じゃないかなーと思っていますが、どうなんでしょうか。

@tadd @zundan 何に対する後発ですか？

@omasanori @zundan 既存の多要素認証が普及した世界への、です

@tadd @zundan なるほど。しかし、それがないとパスワードとセキュリティキーの二要素認証は実装できなくなると思います。（セキュリティキーによる認証にPINか生体情報によるロックを要求することになるので、三要素認証は実装できるけれど二要素認証は実装できない状態になる。）

PasskeyはFIDO2の認証情報のマーケティング上の別名であって全く新しいAPIを用意したわけではないので、二要素認証用のデバイス自体は単要素認証（所持）という場合（パスワード認証と組み合わせる想定）は引き続きサポートする必要は当面の間あるのではないでしょうか。

@omasanori @zundan ごめんなさい、前者が分かりませんでした。パスワードがある、そこにセキュリティキーを足したい、なら、二要素目も三要素目もなく、一要素目のパスワードで認証するしか無い気がしました。

「既存でもあるし」というのはその通りだなと思い直しました。自分が問題じゃないのかな、と思ってるのは、多要素認証の代替として一要素Passkeyを推してるのを複数箇所で見たから、で、そこを書いてなくてごめんなさい。ここは多要素からのデグレじゃないの？（なんでそれを許したままなの？）と思ってしまいます

@tadd @zundan 前段について、つまり、現在のGitHubのような多段階の認証フローは多要素認証ではないということでしょうか。私はそうは思いませんが……。

後段について、単要素のpasskeyを推奨しているという話に詳しくないのですが、たとえばどのページの話でしょうか。念のため、秘密鍵を格納したデバイスからアクセスした上で指紋認証やPIN入力をクリアした場合、それは二要素認証だと理解しています。

@omasanori @zundan 前者はそうは思ってなかったです。何やら自分が誤解してそうな雰囲気で、すみません……

後者の例を挙げる以前の話として、自分がもう一つ誤解していた気がしています。Passkeyを使う時にPINとかがいる、だからPasskeyは一つに見えるけど多要素認証を常にしている、ということでしょうか？

@tadd @zundan 後者について、私はそう（PINの場合は所有と知識の二要素認証）理解しています。

@omasanori @zundan それでその話だとすると、先ほどかいたずんださんの反例ひとつだけでも「多要素でないのを許してる」ことになると思います。

@omasanori @zundan しかし自分が書いた「単要素を推奨」というのは間違いでしたね、すみません。
いま調べて考えた限りですと「既存多要素の置き換えとしてPasskeyを推奨するが、要素数はDon't Careになる」という話かと思いました

@ikeji @zundan @omasanori なるほど、そのへんは選べた方がよさげ、というのは同意。