WebAuthn

WebAuthn (Web Authentication) は、Web ブラウザでパスワードレス認証を実現する W3C 標準です。公開鍵暗号を使い、サイトごとに固有の鍵の対を生成します。秘密鍵は利用者の端末内 (ハードウェアのセキュリティモジュール) に安全に保管され、公開鍵がサイト側に登録されます。

認証の際、ブラウザは利用者に端末上での本人確認 (生体認証、PIN、セキュリティキー) を求め、そのうえでサーバーから届いたチャレンジに秘密鍵で署名します。サーバーは保存済みの公開鍵で署名を検証します。

WebAuthn は設計上フィッシングに強いです。認証情報が暗号的にドメインに結びついているため、偽サイトでは使えません。これがパスキーと FIDO2 認証の基盤になっています。