詐欺被害多発してやっと重い腰を上げ、最近進むようになった証券会社の「パスキー必須化」。これ反対する声が世の中には一定数いるそうです。（私はパスキー大賛成なんですが）
反パスキー派の主張がふと気になって調べてみました。
きっかけは、マネックス証券ファウンダー松本大氏の一問一答（1分30秒〜）に寄せられた声
「ログインにパスキー必須化するらしいが、パスキーはパソコンでは使えないので従来方式も残してほしい」（意訳）
実際にはパソコンでも利用可能ですし、松本氏もそう回答しています。
（この質問者さんがどうかはさておき）確かめもせず、安全性への取組に抵抗しようとする人が一定数存在するのはなぜでしょうか。
彼らはなぜ詐欺フレンドリーな振る舞いをするのでしょうか。
前置き：なぜパスキーが推奨されるのか？
パスワードは盗まれる。なんなら被害者が詐欺師に差し出している。*1 一方パスキーの利点は「安全性が高い」。
- ユーザーが詐欺師にフィッシング（偽）サイト経由でログイン情報を渡すことができない
- サーバー側には盗まれるものがない*2
安全かつ、ログイン時の手間もかかりません（従来比）
前置き：パスキーの仕組みは？
パスキー「所持」と「本人確認」が揃って初めてGoサインが出ます。
所持が必須な点がパラダイムシフトだそうです。
利用者が意識しとくべきなのは「どこ」に所持しているか？です。
1. パスキーの「所持」
自分の端末等にパスキーを保存し所持する
単独の端末に
- WindowsPC内。TPM（セキュリティチップ）の機能。デバイス固定型
クラウド経由で複数端末に
- Apple, Microsoft, Google のOSやブラウザの機能。クラウド同期型
- 1Password, Bitwarden。パスワード管理ソフトの機能。クラウド同期型
外付け物理デバイスに（見た目USBメモリ的な）
- Yubikey 等。専用物理デバイスとして。デバイス固定型
2. パスキーの「本人確認」
- 生体認証（指紋、顔）
- PIN（数桁の数字） など
やっと本題：パスキーになぜ反対するのか？
反対派の意見を収集してみました。
うちの端末は非対応だから…派
主張：古いPCしかないから使えない
主張：スマホがないから使えない
主張：生体認証がある端末がないから使えない
回答：いずれもパスキー利用可能です。
先ほどの仕組み参照。環境により使えない人が生まれないよう、セキュリティのプロ達がいい塩梅に規格 FIDO を策定しています。最新端末でなくてもそれなりに機能するようできてます。
主張：個人情報である指紋や顔を証券会社、Google、Apple に送信したくない。流出が怖い
回答：生体情報やPINはネットに流しません。
端末の中に留まります。仕組みが理解されていないが故の誤解。
実際には「やりたくない」が先にあり、後付けで理屈を探し出しているケースもあるでしょう。多分実際にはやろうともしていない。（憶測乙）
なぜ「やりたくない」のか？
よくわからない物への漠然とした不安。スマホ依存社会への反感（スマホ向け技術との誤解から）。慣れ親しんだパスワードでの成功体験。目に見えるパスワードから見えないパスキーへ移行する不安。AIに聞くとそんな回答でした。
パスキー反対派は詐欺グループの味方説
それはさすがに言い過ぎなんですが、少なくとも「結果的に」詐欺グループを利することになってしまっている可能性には留意する必要があるでしょう。
証券会社の中の人におかれましては、いつまでも延期*3するよりは、申し訳ないけど嫌なら他社にお移りください、どうぞどうぞ、と一定の見切りをつけるのも一案ではないでしょうか。
反パスキー派は老害ばかりじゃないだろ。まともな主張も取り上げろ
と思われた方、ご安心ください。ちゃんと用意しています（謎）
主張：PIN（数字4桁）ではパスワードよりセキュリティが落ちるだろ
回答：「本人確認のPIN」＋パスキー「所持」が必要なので問題ない
従来方式のままパスワードを数字4桁化するならその懸念通りです。しかしPINが盗まれたとしてもパスキーを所持しない人はログインできません。
主張：スマホが壊れたり紛失したら詰むだろ
回答：スマホなら（ほとんどの人は）クラウド同期型なので別の端末でログインすればOK
主張：PCが壊れたら詰むだろ
回答：PCでもパスキー保管庫がクラウド同期型なら問題ない。デバイス固定型ならその通り。対策を
デバイス固定型＝単独の物理アイテム内に保存するならその通り。ただし現状、大半の人はクラウド同期型を選ぶことになると思われ。*4
主張：パスキープロバイダー（保管庫）からBANされたら詰むだろ
回答：その通り、対策を。これは重大な問題。
パスキー保管庫サービスを提供するGoogle、Microsoft、Apple。ここから締め出されると一巻の終わりです。
各社ともAIによるアカウント誤BANとされる事案が報道されています。*5 BANでパスキーを始めログイン情報全滅とか洒落になりません。
対処法
- パスキー保管庫と、BAN元凶となり得るサービスは別にする
- 複数のパスキー保管庫を併用する。異なるタイプの保管庫を選ぶ
これ、パスキーに限らず、Eメールなどでも同じ道連れ問題が起こり得ます。メガテック (Google, Microsoft, Apple) 依存の落とし穴的な。起こる確率は極小とはいえ事が起きたら被害は甚大。分散大事ですね。
結論、やっぱり Bitwarden
Google, Microsoft, Apple が(誤)BANする原因
- メール
- 写真
- ストレージ
- AI
自分が使うこれらから独立したパスキー保管庫を選ぶのが理想です。あと利便性からクラウド型で。
となると結論は Bitwarden 最強！！！
- 独立系で Google, Microsoft, Apple のBANの影響を受けません
- ほぼすべてのハードで動きます
- クラウド同期型で複数端末間で同期できます
- 無課金でほとんどの機能が使えます。課金しても安い
- ちょっと癖のあるUIも改善されました
うるさ方の多い(?)セキュリティ業界で長年定評があります。間違いのない選択肢のひとつかと！*6
＜過去日記＞
パスキー大好き
大手証券会社がパスキー導入してくれたことに感謝。とはいえそ不正アクセス被害多発が導入を後押ししたのは皮肉な話です。
1Password から見捨てられた際の愚痴。
*1:NHK「クローズアップ現代」で「私は何もしていない。悪くない」と主張する女が、調査の結果実は偽メールで誘導された偽サイトに自ら入力した履歴が判明した事例なんかはまさに典型です。
*2:サーバーには公開鍵（いわば南京錠の錠前）しかない。秘密鍵（錠前を開ける鍵）はユーザーの手元にある
*3:各社延期しまくっている
*4:デバイス固定型にこだわりがあって選ぶなら、対策として他のパスキー保管庫との併用。あとリカバリーコード等回復手段の準備など。
*5:例、Googleフォトの自分の子供の医療目的の肌色多めの写真が小児ポルノとAI判定されGoogleアカウントごとBANされたなんてニュースを耳にします。スマホで撮るとクラウドのフォトサービスに自動同期されがち。他にもAIに化学の質問してたら爆弾テロ犯認定でBANとか。異議申し立てするもスルー。海外の大手テック企業は聞く耳持たない。
*6:1Password もいいと思います。知らんけど。サブスクになったのでやめちゃった。
複数パスキー作れるサイトなら Bitwarden + (Google, Microsoft, Apple のいずれか) を併用 もあり。
