Appleがパスワード不要でFace IDやTouch IDだけでウェブサービスにログインできる「パスキー」機能を開発中

Appleのエンジニアであるギャレット・デビッドソン氏が、パスワードの代わりにFace IDやTouch IDを使ってアカウント認証を行えるようにする新しいパスキー機能を開発していると、WWDC 2021の開発者セッションで明らかにしました。

Move beyond passwords - WWDC 2021 - Videos - Apple Developer
https://developer.apple.com/videos/play/wwdc2021/10106/

Connecting to a Service with Passkeys | Apple Developer Documentation
https://developer.apple.com/documentation/authenticationservices/public-private_key_authentication

Apple Aiming to Eliminate Passwords With Face ID/Touch ID Passkeys - MacRumors
https://www.macrumors.com/2021/06/10/apple-icloud-keychain-passkeys/

デビッドソン氏によれば、AppleはiOS 15とmacOS Montereyに、iCloudキーチェーンで管理されるパスキー機能を搭載することを予定しているそうです。

パスキーとはパスワード不要なログイン方法のウェブ標準「WebAuthn」に基づいた秘密鍵と公開鍵のペアのこと。iPhoneやiPad、Macはアカウントの作成時に公開鍵と秘密鍵のペアを生成し、公開鍵をサーバーに送信します。また、公開鍵と秘密鍵のペアはユーザーのiCloudキーチェーンに保存し、ユーザーのデバイス間で鍵を同期して共有します。

また、Face IDやTouch IDでパスキーを認証することで、いちいちパスワードを入力することなく、ウェブサービスの固有アカウントにログインできるようになります。

Face IDやTouch IDを使ってウェブサービスにログインすること自体はiOS 14でも可能ですが、最初の1回はIDとパスワードをブラウザに入力する必要があり、このIDとパスワードをiCloudキーチェーンに保存し、2回目以降はFace IDやTouch IDを使って呼び出しているだけ。そもそもパスワード入力という方法に脆弱性があるため、WebAuthnに対応したパスキーの方が安全性が高いといえます。

デビッドソン氏によれば、パスキー機能はAppleデバイスのみで機能しますが、この技術を使えばWindowsやAndroidでも同様の仕組みを利用した機能を実装できると述べています。そのため、Appleは、WebAuthnを策定するWorld Wide Web ConsortiumやFIDO Allianceなどの業界団体に参加するパートナー企業とも話し合いを進めているそうです。