知識マップ: パスキーはなぜ安全なのか ── 仕組み・同期・紛失時の注意点を図解
記事「パスキーはなぜ安全なのか ── 仕組み・同期・紛失時の注意点を図解」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。
パスキーはログイン先へ秘密鍵を渡さず、今回の要求と使用先に結び付いた署名で認証します。公開鍵だけの流出では署名を偽造できず、適切に実装されたWebAuthnは無関係な偽サイトからの資格情報利用を防ぎます。同期型は暗号化した保管庫を通じて鍵を複製し、固定型は特定の認証器に保持します。いずれも端末、保管庫、代替ログイン、アカウント回復、既存セッションの保護が必要です。
flowchart LR
accTitle: パスキーがなぜ安全かの知識マップ
accDescr: 公開鍵による署名、RP IDとオリジンの検証、同期型とデバイス固定型、端末紛失時の失効と回復、代替ログインとセッションに残るリスクの関係を示す図。
passkey["パスキー"]
webauthn["WebAuthn"]
fido2["FIDO2"]
public_key_cryptography["公開鍵暗号"]
ctap["CTAP"]
authenticator["認証器"]
tpm["TPM"]
windows_hello["Windows Hello"]
fido2_security_key["セキュリティキー"]
device_bound_passkey["デバイス固定型パスキー"]
webauthn_secure_context["セキュアコンテキスト要件(HTTPS)"]
webauthn_challenge["チャレンジ(使い捨て乱数)"]
rp_id["RP ID(Relying Party識別子)"]
phishing["フィッシング"]
aitm_phishing["AiTM(中間者)型フィッシング"]
credential_database_breach["認証情報データベースの漏洩"]
password_authentication["パスワード認証"]
password_reuse["パスワードの使い回し(リスト型攻撃)"]
account_takeover["アカウント乗っ取り"]
session_cookie_theft["セッションクッキー窃取"]
totp["ワンタイムパスワード(TOTP)"]
phishing_resistant_mfa["フィッシング耐性MFA"]
entra_id["Microsoft Entra ID"]
synced_passkey["同期型パスキー"]
platform_credential_vault["プラットフォームの資格情報保管庫"]
nist_aal3["NIST AAL3(認証器保証レベル3)"]
platform_account_hardening["プラットフォームアカウントの保護強化"]
account_recovery_abuse["アカウント回復フローの悪用"]
account_recovery_hardening["回復フローの本人確認強化"]
fallback_credential["併存するフォールバック認証手段"]
fallback_retirement["フォールバック手段の計画的縮小"]
passkey -->|"利用する"| webauthn
passkey -->|"利用する"| fido2
passkey -->|"利用する"| public_key_cryptography
fido2 -->|"利用する"| webauthn
fido2 -->|"利用する"| ctap
passkey -->|"利用する"| authenticator
authenticator -.->|"利用する"| tpm
windows_hello -.->|"利用する"| tpm
passkey -.->|"利用する"| windows_hello
passkey -.->|"利用する"| fido2_security_key
device_bound_passkey -->|"利用する"| authenticator
webauthn -->|"前提とする"| webauthn_secure_context
webauthn -->|"利用する"| webauthn_challenge
passkey -->|"前提とする"| rp_id
rp_id -->|"防止する"| phishing
passkey -->|"防止する"| phishing
passkey -->|"防止する"| aitm_phishing
public_key_cryptography -->|"軽減する"| credential_database_breach
password_authentication -.->|"原因になり得る"| credential_database_breach
password_authentication -.->|"原因になり得る"| phishing
password_authentication -.->|"原因になり得る"| password_reuse
password_reuse -.->|"原因になり得る"| account_takeover
aitm_phishing -.->|"原因になり得る"| session_cookie_theft
totp -->|"用いるのは非推奨"| phishing_resistant_mfa
passkey -->|"推奨される対応"| phishing_resistant_mfa
entra_id -.->|"利用する"| passkey
passkey -.->|"で構成できる"| entra_id
synced_passkey -->|"に保存される"| platform_credential_vault
synced_passkey -->|"両立しない"| nist_aal3
device_bound_passkey -.->|"推奨される対応"| nist_aal3
platform_credential_vault -.->|"原因になり得る"| account_takeover
platform_account_hardening -->|"推奨される対応"| account_takeover
account_recovery_abuse -.->|"原因になり得る"| account_takeover
account_recovery_hardening -->|"推奨される対応"| account_recovery_abuse
fallback_credential -.->|"原因になり得る"| account_takeover
fallback_retirement -->|"推奨される対応"| fallback_credential
session_cookie_theft -->|"原因になり得る"| account_takeover
passkey -->|"用いるのは非推奨"| session_cookie_theft
概念間の関係(全38件)
図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。
- パスキーはWebAuthnを利用します。
- パスキーはFIDO2を利用します。
- パスキーは公開鍵暗号を利用します。
- FIDO2はWebAuthnを利用します。
- FIDO2はCTAPを利用します。
- パスキーは認証器を利用します。
- 認証器はTPMを利用します。
- Windows HelloはTPMを利用します。
- パスキーはWindows Helloを利用します。
- パスキーはセキュリティキーを利用します。
- デバイス固定型パスキーは認証器を利用します。
- WebAuthnはセキュアコンテキスト要件(HTTPS)を前提とします。
- WebAuthnはチャレンジ(使い捨て乱数)を利用します。
- パスキーはRP ID(Relying Party識別子)を前提とします。
- RP ID(Relying Party識別子)はフィッシングを防ぎます。
- パスキーはフィッシングを防ぎます。
- パスキーはAiTM(中間者)型フィッシングを防ぎます。
- 公開鍵暗号は認証情報データベースの漏洩を軽減します。
- パスワード認証は認証情報データベースの漏洩の原因になることがあります。
- パスワード認証はフィッシングの原因になることがあります。
- パスワード認証はパスワードの使い回し(リスト型攻撃)の原因になることがあります。
- パスワードの使い回し(リスト型攻撃)はアカウント乗っ取りの原因になることがあります。
- AiTM(中間者)型フィッシングはセッションクッキー窃取の原因になることがあります。
- ワンタイムパスワード(TOTP)をフィッシング耐性MFAに用いることは推奨されません。
- パスキーはフィッシング耐性MFAに対する本記事の推奨です。
- Microsoft Entra IDはパスキーを利用します。
- パスキーはMicrosoft Entra IDで構成できます。
- 同期型パスキーはプラットフォームの資格情報保管庫に保存されます。
- 同期型パスキーはNIST AAL3(認証器保証レベル3)と両立しません。
- デバイス固定型パスキーはNIST AAL3(認証器保証レベル3)に対する本記事の推奨です。
- プラットフォームの資格情報保管庫はアカウント乗っ取りの原因になることがあります。
- プラットフォームアカウントの保護強化はアカウント乗っ取りに対する本記事の推奨です。
- アカウント回復フローの悪用はアカウント乗っ取りの原因になることがあります。
- 回復フローの本人確認強化はアカウント回復フローの悪用に対する本記事の推奨です。
- 併存するフォールバック認証手段はアカウント乗っ取りの原因になることがあります。
- フォールバック手段の計画的縮小は併存するフォールバック認証手段に対する本記事の推奨です。
- セッションクッキー窃取はアカウント乗っ取りの原因になることがあります。
- パスキーをセッションクッキー窃取に用いることは推奨されません。
主要概念の定義
機械可読データ
このデータセットについて
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。