そのパスワード、まだ誰かの記憶頼みですか——パスキーという鍵の持ち方

「パスワードを忘れました」——月に一度は、そんな連絡が来ていませんか。
付箋に書いて画面の端に貼っている人がいて、部署でひとつを共有している人がいて、去年から一度も変えていない人がいる。
責めるつもりはありません。
覚えられないものを覚えろと言われ続けたら、人はどこかで諦めてしまう。
運用の穴は、たいてい怠慢ではなく無理な要求から生まれます。

厄介なのは、どれだけ複雑な文字列を作っても、それが漏れる経路は本人の外側にあることです。
どこか別のサービスから流出する。
本物そっくりの偽ログイン画面に、自分の手で打ち込んでしまう。
どちらも「気をつけていれば防げた」と言われがちですが、精巧に作られた偽サイトを毎回見抜けというのは、なかなか酷な話ではないだろうか。

Container はパスキー（WebAuthn）に対応しています。
鍵は端末の中にあって、ログインの合図は指紋や顔、あるいは端末のロック解除。
覚える文字列そのものが存在しないので、忘れることも、使い回すことも、どこかから漏れて悪用されることもありません。
パスキーは正しいサイトでしか反応しない作りなので、偽の画面では出番すら来ない。
サーバー側に秘密を預けないため、万一データが流出しても、そこからログインを突破されることはありません。

全員が今日から切り替える、という話ではないと思います。
管理者が利用の可否を切り替えられて、従来のログインと併用もできるので、まずは面白がってくれそうな担当者ひとりから始めれば十分です。
その人が「これ、楽ですね」と言い出したあたりから、不思議と広がっていく。
セキュリティを固める道のりは我慢の連続だと思われがちですが、楽になった結果として強くなる、という順番もあるのだと私は思います。

詳しくはパスキー認証のページをご覧ください。