パスキーとセキュリティキー：Apexで実際に試した結果Passkeys and security keys: what we tried on Apex

FIDO2：共通の規格 FIDO2は、パスワードを使わずにログインするための国際規格です。ウェブサイトとブラウザの間の決まりをWebAuthn、ブラウザと鍵の間の決まりをCTAPといいます。FIDO2: the standard FIDO2 is an international standard for signing in without a password. The website-to-browser rules are called WebAuthn. The browser-to-key rules are called CTAP.

パスキー：資格情報 パスキーは、パスワードを使わずにログインするための鍵です。端末どうしで同期するものもあれば、ひとつの認証器にだけ保存されるものもあります。FIDO2対応のセキュリティキーに保存できるパスキーもあります。Passkey: the credential A passkey is a credential for signing in without a password. Some passkeys sync between devices. Others stay on one specific authenticator. Some FIDO2 security keys can store passkeys too.

セキュリティキー：認証器のひとつ 鍵を持ち、本人確認に使う機器を認証器といいます。スマートフォンやパソコンが認証器になることもあります。別の認証器として使うものがセキュリティキーです。USBやNFCで使うものもあれば、皮下に入れて使うものもあります。Security key: one kind of authenticator An authenticator is the device that holds the key and proves you are present. Your phone or computer can be one. A separate authenticator is called a security key. It may connect by USB or NFC, or be carried under the skin.

同期型と端末固定型 同期型のパスキーは、対応する管理サービスを使って、ほかの端末でも利用できます。端末固定型は、ひとつの認証器に保存されたままです。違いは、同期のしやすさと、秘密鍵をどこで保存・管理するかです。向いている方式は、使い方と管理の考え方によって変わります。Synced or device-bound A synced passkey can work on other devices through a compatible passkey provider. A device-bound credential stays on one authenticator. The two differ in how convenient syncing is and where the private key is stored and managed. The right choice depends on how you use and manage your keys.

サービス サービスは、公開鍵、つまり人に渡してもよい鍵と、その識別番号を保存します。ログインのたびに、チャレンジと呼ばれる新しい確認用データを送ります。Service The service stores the public key, the part of the key pair that can be shared, and an ID for it. Each time you sign in, it sends a new one-time check called a challenge.

ブラウザ ブラウザは、どのサイトからの要求かを鍵に伝え、確認用データを渡します。鍵はRP ID、つまりサービスを見分ける名前で登録先を覚えています。要求元のサイトが合わなければ、署名しません。Browser The browser tells the key which site is asking and passes along the check. The key keeps track of each service with an RP ID, the service's identifying name. It will not sign if the requesting site does not match.

鍵（認証器） 鍵は秘密鍵で署名します。署名は、その秘密鍵を持つ鍵だけが作れます。端末固定型では、秘密鍵を外に出さずに認証できます。Key (authenticator) The key uses its private key to sign. That signature can be made only with the private key. A device-bound key can authenticate without exporting the private key.

サービスは秘密を持たない サービスが保存するのは、公開鍵、つまり人に渡してもよい鍵と、その識別番号などです。公開鍵だけを手に入れても、秘密鍵の持ち主としてログインすることはできません。秘密鍵を偽のサイトに入力することもありません。The service holds no secret The service stores the public key and an ID for it. Having the public key alone does not let someone sign in as if they had the private key. You also never type the private key into a fake site.

毎回ちがう確認データ ログインのたびに、チャレンジと呼ばれる新しい確認用データに署名します。その応答を記録しても、あとで使い回すことはできません。A new check every time Each sign-in uses a new one-time check, called a challenge. A recorded response cannot be reused later.

サイトのドメインを確認 ブラウザは、どのドメインからの要求かを鍵に伝えます。本物のサイト用に作ったパスキーは、よく似た別のドメインには署名しません。これが、フィッシングに強い主な理由です。The site's domain is checked The browser tells the key which domain is asking. A credential for the real site will not sign for a look-alike domain. This is the main reason passkeys resist phishing.

その場にいる本人の操作 ログインのたびに、本人がその場で操作する必要があります。鍵によっては、タッチ操作や、自分で設定した暗証番号（PIN）の入力も必要です。You are there Each sign-in requires you to be present. Depending on the key, it may also require a touch or a PIN, a code you set.