パスキー・FIDO2・多要素認証とは｜2級の要点

三つの言葉は階層が違います。多要素認証は「認証の考え方」、FIDO2 は「それを実現する標準」、パスキーは「FIDO の標準で作られる資格情報」です。

FIDO Alliance は、FIDO2 を W3C の WebAuthn と FIDO の CTAP（Client to Authenticator Protocol）の組み合わせとして説明しています。WebAuthn は Web アプリが公開鍵の資格情報を作って使うための API で、W3C では Level 2 が2021年4月、Level 3 が2026年8月に勧告になっています（2026年9月時点）。CTAP は、パソコンやスマートフォンと、外付けのセキュリティキーなどの認証器がやり取りする手順です。

パスキーについて FIDO Alliance は、スマートフォンやパソコン、セキュリティキーに保存でき、端末のロック解除と同じ操作（生体認証・PIN・パターン）でサインインできる資格情報と説明しています。

認証の入口に加えて、ログイン後のセッション保護も確認すると、対策が守る範囲を整理できます。

具体的な判断へ進むにはMFAのフィッシング耐性を確認してください。

認証に使う要素は、一般に次の3種類に分けられます。多要素認証かどうかは、要素の数ではなく種類の数で判断します。

よく混同されるのが「2段階認証」です。2段階認証は確認の回数が2回という意味で、パスワードの後に秘密の質問を聞く方式は2段階でも知識の要素しか使っていません。多要素認証に当たるのは、パスワード（知識）とスマートフォンへの確認（所持）のように種類が異なる組み合わせです。

パスキーでは、端末（所持）の中の秘密鍵を使うために、端末の生体認証や PIN（生体または知識）で本人を確かめます。1回の操作で複数の要素を満たせる点が、利用者の手間を増やさずに強度を上げられる理由です。なお生体認証の照合は端末の中で行われ、生体情報そのものはサーバへ送られません。

パスワードやワンタイムパスワードは「同じ値を知っていれば通る」共有の秘密です。偽サイトに入力させれば、攻撃者はその値を正規サイトで使えます。パスキーは仕組みが違います。

1. 1登録時、端末が利用するサイト専用の鍵の組を作り、公開鍵だけをサイトに登録する。秘密鍵は端末やセキュリティキーの中に残る。
2. 2サインイン時、サイトは毎回異なる値（チャレンジ）を送り、端末は本人確認のあと秘密鍵で署名して返す。
3. 3WebAuthn では、資格情報は登録したサイト（RP ID で示される）にだけ使えるよう、ブラウザと認証器が範囲を限定する。
4. 4そのため、よく似たドメインの偽サイトからは正規サイトの資格情報を呼び出せず、署名も得られない。
5. 5サイトから公開鍵が漏れても、それだけではサインインに使えない。

パスキーには、クラウドを通じて同じ利用者の複数の端末で使える同期パスキーと、一つの端末やセキュリティキーから出ない端末固定のパスキーがあります。FIDO Alliance によれば、同期の際は端から端まで暗号化されます。どちらを使うかは、利便性と管理の厳しさの兼ね合いで選びます。

偽サイトへの誘導そのものの手口はマルウェアとフィッシングの手口、公開鍵と持ち主を結び付ける別の仕組みは電子証明書とPKIとはで扱っています。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト『モバイルシステム技術テキスト 第11版』の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名から当サイトが判断した対応で、公式の発表ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• ✓要素の分類：組み合わせが多要素認証に当たるかを判断させる。
• ✓仕組みの理解：サーバに登録されるのが公開鍵であることや、生体情報の扱いを問う。
• ✓標準の構成：FIDO2 を構成する規格と、それぞれを策定した団体を問う。
• ✓フィッシング耐性：パスキーが偽サイトに強い理由を、似た説明の中から選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。情報・サイバーセキュリティ管理士で問われる認証の範囲は技術的対策｜暗号・認証・アクセス制御にまとめています。

選択肢の説明が、次の左の列の考え方になっていないかを確かめてください。

アクセスのたびに利用者と端末を確かめる考え方は、ゼロトラストとはで扱う設計の土台にもなっています。

パスキーの説明では、ログインするWebサービスと、パスキーを保存・同期する提供元を区別します。「サーバーに秘密鍵を送らない」は、ログイン先のサービスが秘密鍵を預かって照合する方式ではない、という意味です。同期型があるため、「秘密鍵は一つの端末から絶対に出ない」とすべてのパスキーを説明するのは正確ではありません。

端末固定型を使う場合と同期型を使う場合では、端末を失った際の復旧方法も違います。会社で導入するなら、対応製品だけでなく、業務アカウントの管理主体と回復手段を確認します。どちらか一方があらゆる組織で最適と決まっているわけではありません。

本人確認が強くなっても、その人がどのファイルを読んでよいかは別の判断です。共用アカウントを使い回せば、パスキーがあっても利用者の行動を個人に結び付けにくくなります。認証・権限・記録を一緒に説明できるかが、用語を覚えた後の確認点です。

この違いを業務の例で確かめるには、管理士の認証・認可とアクセス制御へ進めます。管理士の学習が目的なら試験と出題範囲を確認し、管理士の無料20問で解説の相性を試してください。モバイル2級の勉強中なら、このページの2級向けの案内を利用してください。

方式の名前や鍵の役割に加え、戻ってきた応答が開始した要求に対応するかも別に確認します。PKCE・state・nonceの違いでは、認可コードの交換と、応答・IDトークンの照合を独自の取引例で分け、CSRF対策の役割が重なる条件まで整理しています。