パスワードの使い回しやフィッシングによる不正ログインが後を絶たないなか、パスワードに頼らない認証方式として「FIDO認証」が広がっています。GoogleやApple、Microsoftが自社のサービスやOSで採用を進めたこともあり、自社のアプリやWebサービスへの導入を検討する開発・情報システム部門が増えています。
一方で、「FIDOとは結局なにを指すのか」「パスキーとは何が違うのか」「UAF・U2F・FIDO2という言葉の関係が整理できない」といった疑問を持つ方も少なくありません。仕組みを正しく理解しないまま導入を進めると、自社サービスに合う方式を選びきれず、せっかくの投資が利便性やセキュリティの向上につながらないおそれがあります。
本記事では、FIDO認証の意味と仕組みを公開鍵暗号の観点からわかりやすく解説し、UAF・U2F・FIDO2という3種類の違い、導入のメリットと見落としがちな課題、そして混同されやすいパスキーとの関係までを整理します。あわせて、FIDO認証を自社サービスに組み込むための具体的な手段（認証SDK・CIAM）も紹介します。
目次
FIDO認証とは
FIDO認証とは、パスワードに頼らずに本人確認を行うための認証方式の標準規格です。FIDOは「Fast IDentity Online」の略で、業界団体であるFIDOアライアンスが策定しています。大きな特徴は、パスワードのような秘密の情報をネットワーク越しにやり取りせず、公開鍵暗号を使って本人であることを証明する点にあります。
仕様を策定するFIDOアライアンスは、その使命を次のように説明しています。
FIDOアライアンスは、パスワードへの過度の依存を減らすための認証標準という、焦点を絞った使命を持つオープンな業界団体である。
出典：FIDOアライアンスの概要｜FIDO Alliance
指紋や顔などの生体認証、PIN、スマートフォン、セキュリティキーといった身近な手段を使ってログインできるため、利用者はパスワードを覚えたり入力したりする必要がなくなります。金融機関でも採用が進んでおり、たとえばイオン銀行やSBI証券は、スマートフォンでの本人確認（スマホ認証）としてFIDO認証を取り入れています。
出典・参考資料（2件）
FIDOのログイン操作で使われる指紋・顔などの生体認証そのものについては、認証の種類や仕組み、企業での活用例を次の記事でくわしく解説しています。
FIDO認証が広がる背景
FIDO認証が広がっている背景には、従来のパスワード認証が抱える構造的な弱さがあります。ここからは、なぜパスワードだけでは安全を保ちにくいのかを整理します。
パスワードは、利用者が複数のサービスで同じ文字列を使い回しやすく、1つのサービスから漏れると他のサービスも破られる連鎖的なリスクを抱えています。偽サイトに誘導して入力させるフィッシングや、サーバーから認証情報が流出する事故も繰り返し起きてきました。パスワードそのものが「サーバー側に保管され、通信でやり取りされる秘密」である以上、盗まれる経路をなくしきれないという課題があります。
FIDO認証は、この「秘密を共有する」構造そのものを変える点に特徴があります。FIDOアライアンスは、フィッシングへの耐性をFIDO認証の中核的な設計目標として掲げています。パスワードを使わず、盗んでも悪用できない仕組みにすることで、使い回し・フィッシング・漏洩という従来の弱点を仕組みとして抑えることをねらいとしています。
FIDO認証の仕組み
ここからは、FIDO認証が公開鍵暗号を使ってどのように本人確認を行うのかを、登録と認証の2つの流れに分けて解説します。全体像は次の図のとおりです。
登録の流れ（秘密鍵は端末、公開鍵はサーバーに保存）
FIDO認証では、利用者が初めてサービスに登録するときに、利用者の端末が「秘密鍵」と「公開鍵」という対になる2つの鍵を生成します。このうち秘密鍵は端末の中だけに保管され、外に出ることはありません。W3Cの仕様では、秘密鍵は認証器の持ち主にさえ取り出せないことが想定されると明記されています。一方の公開鍵はサービス側（Relying Party）に送られ、利用者のアカウントに登録されます。
公開鍵は、その名のとおり外部に知られても問題のない鍵です。したがって、仮にサーバー側の情報が漏れても、ログインに必要な秘密鍵は手元の端末から出ていないため、そのまま悪用することはできません。
認証の流れ（チャレンジ→端末で確認→署名→公開鍵で検証）
2回目以降のログインでは、まずサービス側が端末に対して「チャレンジ」と呼ばれるランダムなデータを送ります。利用者は、端末上で指紋・顔・PINなどによる本人確認を行い、秘密鍵の利用を許可します。この本人確認は端末の中で完結し、生体情報がサービス側に送られることはありません。
本人確認が済むと、端末は秘密鍵を使ってチャレンジに署名し、その署名をサービス側へ返します。サービス側は、登録時に預かっておいた公開鍵でその署名を検証し、正しければログインを認めます。パスワードのような「照合用の秘密」をサーバーに置かず、毎回の署名で本人性を確かめる点が、従来の認証との大きな違いです。
出典・参考資料（2件）
なぜパスワードなしで安全なのか
FIDO認証の安全性は、「端末とサーバーで秘密を共有しない」という設計から生まれます。ログインに不可欠な秘密鍵は端末から出ず、サーバーには公開鍵しか置かれません。生体情報も端末内にとどまるため、サーバーが攻撃を受けても、そこから本人になりすますための材料は得られません。
フィッシングに強いのも、技術的な裏づけがあります。FIDOの鍵は、登録したサイト（ドメイン）に結び付けられており、別のサイトでは使えません。
W3Cの仕様では、公開鍵クレデンシャルはそのサービスに属する正規のドメインからのみ利用でき、この範囲の制限はブラウザと認証器が協調して強制すると定められています。そのため、本物そっくりの偽サイトに誘導されても、利用者がうっかり認証情報を渡してしまう経路が原理的に塞がれています。
出典・参考資料（2件）
FIDO認証の種類（UAF・U2F・FIDO2）の違い
FIDO認証には、策定された順にUAF・U2F・FIDO2という3つの仕様があります。それぞれ認証の形と想定する使い方が異なるため、ここで整理します。現在、自社サービスに新しく導入するなら中心となるのはFIDO2です。
FIDO UAF（パスワードを使わない認証）
UAF（Universal Authentication Framework）は、パスワードを使わずに指紋やPINなど端末側の操作だけでログインする、パスワードレスの体験を実現する仕様です。FIDOアライアンスは、UAFを「利用者が端末を登録し、指紋・PIN・顔認証といった端末上の操作で認証する、パスワードのいらない体験」と説明しています。
FIDO U2F（パスワードに追加する2つ目の要素）
U2F（Universal 2nd Factor）は、既存のパスワードに物理的なセキュリティキーなどを組み合わせ、ログインの安全性を高める「2つ目の要素」として使う仕様です。パスワードを置き換えるのではなく、既存のパスワード認証を補強する位置づけになります。U2Fはその後、FIDO2の一部であるCTAPの旧版（CTAP1）として整理されており、FIDO2の認証器との互換の道筋も残されています。
FIDO2（WebAuthn＋CTAP）
FIDO2は、現在のパスワードレス認証の中心となる仕様です。ブラウザやアプリとやり取りするための「WebAuthn（Web認証）」と、ブラウザと認証器をつなぐための「CTAP（Client to Authenticator Protocol）」の2つで構成されます。このうちWebAuthnはWeb標準化団体のW3Cが、CTAPはFIDOアライアンスが策定しており、所管が分かれている点が特徴です。
FIDO2では、専用の機器を用意しなくても、手元のPCやスマートフォンに内蔵された生体センサーなどをそのまま認証器として使えます。これにより、一般の利用者が追加の機器なしでパスワードレス認証を使えるようになりました。
U2F 1.0は2014年に公開され、FIDO2の中核であるWebAuthnはW3Cの勧告として標準化が進んでいます（Web認証の勧告はLevel 2が2021年、Level 3が2026年8月）。おおまかには、UAFとU2FがFIDOの第1世代、FIDO2がその後に広く普及した世代と捉えると整理しやすくなります。
資料によって年の表記に幅があるのは、初版・改訂版・標準化団体による勧告のどの時点を指すかの違いによるものです。
以下は、3つの仕様の違いをまとめた比較表です。
| 仕様 | FIDO UAF | FIDO U2F | FIDO2（WebAuthn＋CTAP） |
|---|---|---|---|
| 認証の形 | パスワードレス（指紋・PIN・顔など端末側の操作で認証） | パスワード＋物理セキュリティキー等の2要素 | PC・スマホ内蔵の認証器でパスワードレス認証 |
| パスワードの扱い | 使わない | 併用する（2つ目の要素として追加） | 使わない（パスワードレス） |
| 専用デバイスの要否 | 端末内蔵の生体センサー・PIN等で完結（物理キーは不要） | 物理セキュリティキーなどが前提 | 専用機器は不要（内蔵センサーやセキュリティキーも利用可） |
| 主な位置づけ | FIDOの第1世代。パスワードを置き換える | 既存のパスワード認証を補強。後にCTAP1として整理 | 現行の標準。ブラウザ・プラットフォーム対応 |
※上記は各仕様の一般的な特徴の整理です。実際の対応状況は利用する製品・認証器により異なります。
出典・参考資料（3件）
FIDO認証を導入するメリット
FIDO認証を自社サービスに取り入れると、利用者と提供側の双方に次のような利点があります。ここからは、代表的な4つのメリットが実際にどういう場面で効くかを具体的に見ていきます。
利便性が向上する
利用者はパスワードを覚えたり、入力したり、定期的に変更したりする手間から解放されます。指紋や顔認証でそのままログインできるため、ログイン画面での離脱を減らす効果も期待できます。提供側にとっても、「パスワードを忘れた」という問い合わせやリセット対応の負担が軽くなります。
セキュリティが強化される
FIDO認証は、フィッシング・パスワードの使い回し・サーバーからの漏洩といった、従来の認証が抱えてきたリスクを設計上、下げられます。前述のとおり、鍵が登録したサイトにしか使われず、秘密鍵も端末から出ないため、攻撃者が認証情報を盗んでも悪用しにくい構造になっています。会員制サービスや決済・取引など、不正ログインの被害が大きい場面ほど効果が見込めます。
プライバシーが守られる
指紋や顔といった生体情報は端末の中で照合され、サービス側のサーバーに送られることはありません。FIDOアライアンスの解説でも、端末側の認証手段に関する情報（生体の計測値やテンプレートなど）は端末から出ないと説明されています。生体情報を預からずに済むため、提供側が生体データの管理リスクを負わない点も実務上の利点です。
さまざまなデバイスで利用できる
FIDO2に対応したことで、専用の機器をそろえなくても、普段使っているPCやスマートフォンの生体認証機能をそのまま認証に使えるようになりました。後述するパスキーを使えば、複数の端末で同じ認証情報を利用することもでき、機種変更や端末の併用がある利用者にも対応しやすくなります。
FIDO認証のデメリット・課題
FIDO認証には多くの利点がある一方、導入前に押さえておきたい課題もあります。ここでは、実務で見落とされがちな2つの点を取り上げます。
デバイスを紛失・故障すると再認証に手間がかかる
秘密鍵が端末の中に保管される仕組みのため、その端末を紛失・故障・買い替えした場合、そのままではログインできなくなります。後述する同期型のパスキーを使えば複数端末で鍵を共有できますが、単一の端末だけに鍵がある構成では、再登録の手順や予備の認証手段をあらかじめ用意しておく必要があります。
提供側は、アカウントを失った利用者をどう救済するか（バックアップの認証方法やサポート窓口）を設計段階で決めておくことが欠かせません。
専用デバイスが必要になる場合がある
物理的なセキュリティキーなど専用の認証器が前提になりやすいのは、主にパスワードへ追加する2つ目の要素として使うU2Fです。UAFは端末内蔵の生体センサーやPINで完結し、現行のFIDO2も、PCやスマートフォンに内蔵された認証器をそのまま使えるため、多くの場面で専用機器は要りません。
ただし、利用者の端末やブラウザがFIDO2に対応していない場合もあります。導入時は対応環境を確認し、非対応の利用者向けの代替手段もあわせて用意しておくことが必要です。
ここで触れた物理的なセキュリティキーが、どのようなデバイスで、どう選べばよいのかは、次の記事で仕組みと選び方をくわしく解説しています。
FIDO認証とパスキーの関係
FIDOと並んでよく聞く「パスキー（passkey）」は、FIDOとは別物ではありません。パスキーは、FIDOの標準にもとづく認証情報（クレデンシャル）であり、FIDO2の仕組みの上に成り立っています。パスキーはFIDO2の鍵をより使いやすい形にした実装であり、FIDO認証を一般の利用者に広めるための呼び名だと捉えると分かりやすくなります。
A passkey is an authentication credential based on FIDO standards. Passkeys are built on FIDO2 specifications.
出典：Passkeys｜FIDO Alliance
訳すと、「パスキーはFIDO標準にもとづく認証情報であり、FIDO2の仕様の上に構築されている」という意味で、公式にもパスキーがFIDO2を土台にすることが示されています。
パスキーには、大きく分けて2つのタイプがあります。1つは、クラウドのサービスを通じて利用者の複数のデバイス間で同期される「同期パスキー」です。もう1つは、特定のデバイスから持ち出せない「デバイス固定（device-bound）パスキー」で、FIDOセキュリティキー上に保存されるものなどが該当します。
同期パスキーは機種変更や端末の併用に強く、デバイス固定パスキーは鍵が1つの端末から出ない厳格さが利点です。自社サービスの利用者層やセキュリティ要件に応じて、どちらを許可するかを設計することになります。
出典・参考資料（1件）
FIDO認証を自社サービスに導入する手段
FIDO認証を自社のアプリやWebサービスに組み込む方法は、大きく2つに分かれます。1つはWebAuthnなどの仕様をもとに自前で実装する方法、もう1つは認証機能をまとめて提供する認証SDKやCIAM（顧客ID・アクセス管理）を導入する方法です。自前の実装は仕様の理解や保守の負担が大きいため、多くの企業はパスキー・FIDO2に対応した認証基盤を利用して開発の手間を抑えています。
認証SDK・CIAMは、対応する認証方式・提供形態・料金体系が製品ごとに異なります。以下の記事では、生体認証・パスキーに対応したSDK/APIを機能や料金で比較し、自社サービスに合わせた選び方まで解説しています。導入手段を具体的に検討する段階に入った方は、あわせてご覧ください。
パスワードレス認証とは？自社サービスに組み込む生体認証・パスキー対応SDK/APIを機能・料金で比較【選び方も解説】
自社アプリやWebサービスのログインを、パスワードに頼らない方式へ切り替えたいと考える開発・プロダクト部門が増えています。パスワードの使い回しやフィッシングによる不正ログインが後を絶たず、パスキーやFIDO2といったパスワードレス認証が、そ…
以下は、FIDO2・パスキーに対応した代表的な認証SDK・CIAMの比較表です。料金欄のMAUは、月間アクティブユーザー数を指します。
| サービス名 | Auth0 | Amazon Cognito | Keycloak | Microsoft Entra External ID | PingOne for Customers | Uni-ID Libra |
|---|---|---|---|---|---|---|
| 提供会社 | Okta, Inc.（米国） | アマゾン ウェブ サービス（AWS） | Keycloakプロジェクト（OSS、Red Hatが主要スポンサー） | Microsoft（米国） | Ping Identity（米国） | NRIセキュアテクノロジーズ（日本） |
| 提供形態 | クラウド（SaaS型CIAM） | クラウド（AWSマネージドCIAM） | セルフホスト（OSS） | クラウド（SaaS型CIAM） | クラウド（SaaS型CIAM） | オンプレミス／クラウド |
| パスキー（FIDO2/WebAuthn） | ● | ● | ● | ● | ● | ● |
| パスキー利用の条件 | Freeを含む全プランで利用可。パスワード併用が前提 | Essentials・Plusプランで対応（Liteは非対応） | バージョン26.4.0以降で正式対応（管理者による有効化が必要） | 全プランで追加費用なし。登録はローカルアカウントのみ、登録画面は自前実装 | Plusプラン以上で対応（Essentialは対象外） | 標準対応（FIDO全方式対応・FIDOユニバーサルサーバ認定） |
| 料金体系 | MAU課金。Free（2.5万MAUまで無料）〜Enterpriseは要お問い合わせ | MAU従量課金。Essentials $0.015／Plus $0.020（1MAUあたり）。Essentialsは月1万MAUまで無料枠あり（Plusは無料枠なし） | ソフトは無償（Apache License 2.0）。インフラ・運用費は自社負担 | MAU課金。5万MAUまで無料（超過分の単価は要お問い合わせ） | 年額制。Essential $35,000〜／Plus $50,000〜（MAU単価は要お問い合わせ） | 要お問い合わせ（料金非公開・個別見積もり） |
| 認証規格 | OIDC・OAuth 2.0・SAML・FAPI 1 Advanced | OIDC・OAuth 2.0・SAML 2.0 | OIDC・OAuth 2.0・SAML 2.0 | OIDC・OAuth 2.0・SAML／WS-Fed | OIDC・OAuth 2.0・SAML 2.0 | OIDC・FIDO・FAPI 2.0（認定取得） |
| 向いている企業 | 開発者向けの拡張性を重視し、無料で手早くパスキーを試したい企業 | すでにAWS上でサービスを運用し、従量課金で始めたい企業 | 認証基盤を自社で管理したい・クラウド依存を避けたい企業 | Microsoftの基盤でサービスを構築している企業 | 大規模なサービスで認証フローを細かく作り込みたい企業 | 国産基盤で導入支援まで任せたい、高いセキュリティ要件のある企業 |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は各社の公式情報（2026年9月30日時点）にもとづく整理です。料金・対応プラン・パスキーの対応条件は変動するため、導入検討時は各社の公式情報をご確認ください。
ここからは、FIDO2・パスキーの実装に対応した主なサービスを個別に紹介します。
1. Auth0（Okta, Inc.）
Auth0は、Okta, Inc.が提供する開発者向けの認証・認可プラットフォームです。Web・モバイル・API向けのログイン機能（サインアップ、サインイン、シングルサインオン、多要素認証、ソーシャルログインなど）を、SDK・APIと管理画面を使って実装できます。
パスキー（FIDO2／WebAuthn）認証に対応しており、無料のFreeプランを含むすべてのプランで追加費用なく利用できます。パスワードレス認証や適応型の多要素認証、ブランドに合わせてカスタマイズできるログイン画面（Universal Login）もそろっており、自社サービスへのパスキー導入をまず手早く試したい場合にも適しています。
出典・参考資料（1件）
2. Amazon Cognito（アマゾン ウェブ サービス）
AWS（アマゾン ウェブ サービス）が提供するマネージド型の顧客ID・アクセス管理（CIAM）サービスがAmazon Cognitoです。会員登録・サインインの基盤となる「ユーザープール」と、認証済みの利用者にAWSの一時的な権限を渡す「IDプール」で構成され、Webやモバイルアプリの認証を短期間で組み込めます。
パスキー（WebAuthn／FIDO2）認証はオプション機能として提供され、EssentialsプランとPlusプランで利用できます（Liteプランは対象外）。月間アクティブユーザー数に応じた従量課金で初期費用がかからないため、すでにAWS上でサービスを運用している企業が、利用規模に合わせてパスキーを導入したい場合に向いています。
3. Keycloak（Keycloakプロジェクト）
Keycloakは、Apache License 2.0で公開されているオープンソースのID・アクセス管理（IAM）ソフトウェアです。
CNCF（Cloud Native Computing Foundation）のプロジェクトとして開発され、Red Hat, Inc.が主要なスポンサーを務めています。SaaSとして契約するのではなく、自社のサーバーやコンテナ環境に構築して運用する点が、ほかの認証基盤との大きな違いです。
パスキー（FIDO2／WebAuthn）はバージョン26.4.0以降で正式にサポートされています。ソフトウェア自体は無償で利用でき、ライセンス費用がかからない一方、サーバーやクラウドの構築・運用は自社で負担します。認証基盤を自社管理したい企業や、クラウドサービスへの依存を避けたい場合に選択肢となります。
出典・参考資料（1件）
4. Microsoft Entra External ID（Microsoft Corporation）
外部の顧客・取引先向けの認証とID管理（CIAM）を自社アプリに組み込むためのMicrosoftのソリューションが、Microsoft Entra External IDです。従業員向けのID基盤とは別に「外部テナント」を作成し、自社アプリの会員登録・サインイン・ブランド設定を管理します。セルフサービス登録やシングルサインオン、外部IDでのログインに対応します。
外部テナントでのパスキーによるサインインに対応しており、月間アクティブユーザー5万人までの無料枠が用意されています。ただし、パスキーを登録できるのはローカルアカウントに限られ、登録画面は自前で実装する必要があるなどの条件があるため、導入前に外部テナント向けの最新情報を確認することをおすすめします。Microsoftの基盤でサービスを構築している企業に適した選択肢です。
5. PingOne for Customers（Ping Identity）
PingOne for Customersは、Ping Identityが提供するクラウドネイティブな顧客ID・アクセス管理（CIAM）ソリューションです。認証・ユーザー管理・多要素認証を、コードを書かずに組み合わせられるオーケストレーション機能が特徴で、複雑な認証フローを柔軟に設計できます。
FIDOポリシーの設定によってパスキー（FIDO2／WebAuthn）に対応します。料金は年額制で、適応型の多要素認証や複数の認証方式を使う場合は上位プランが前提となります。大規模なサービスで、認証フローを細かく作り込みたい企業に向いています。
6. Uni-ID Libra（NRIセキュアテクノロジーズ株式会社）
Uni-ID Libraは、NRIセキュアテクノロジーズ株式会社が自社開発・販売する、BtoCサービス向けの顧客ID統合・認証ソリューションです。企業が提供するWebサービス・アプリでの顧客IDの一元管理と認証を、セキュリティとカスタマイズ性を両立しながら構築できます。企画・要件定義の段階からのコンサルティングを伴う導入形態が特徴です。
FIDO（パスキー）に対応しており、関連製品のLibra FIDOを含めてパスワードレス認証を実現できます。料金は公開されておらず、提供形態や要件に応じた個別見積もりとなります。国産の認証基盤として、金融をはじめとする高いセキュリティ要件のあるサービスで、導入支援まで含めて任せたい企業に向いています。
まとめ
FIDO認証は、公開鍵暗号を使ってパスワードに頼らずに本人確認を行う認証方式の標準規格です。秘密鍵が端末から出ず、鍵が登録したサイトにしか使われないため、フィッシングや漏洩に強い点が大きな特徴です。
仕様にはUAF・U2F・FIDO2の3種類があり、現在自社サービスに導入するならFIDO2（WebAuthn＋CTAP）が中心となります。
利便性やセキュリティの向上といったメリットがある一方、端末紛失時の再認証や対応環境の確認といった課題もあるため、救済手段や代替手段をあわせて設計することが欠かせません。よく混同されるパスキーは、FIDO2の鍵を使いやすくした実装であり、FIDOとは別物ではありません。
自社サービスへの導入では、仕様を自前で実装するより、パスキー・FIDO2に対応した認証SDKやCIAMを利用するほうが開発・保守の負担を抑えられます。利用している基盤やサービスの規模、求めるカスタマイズ性に合わせて、本記事で紹介したサービスの資料を比較しながら検討してください。
よくある質問（FAQ）
Q. FIDO認証とは何ですか？
A. FIDO認証とは、パスワードに頼らず、公開鍵暗号を使って本人確認を行う認証方式の標準規格です。「Fast IDentity Online」の略で、業界団体のFIDOアライアンスが策定しています。パスワードのような秘密の情報をネットワーク越しにやり取りせず、指紋・顔・PINなど手元の端末の操作でログインできる点が特徴です。
出典・参考資料（1件）
Q. FIDO認証はパスワード認証と何が違いますか？
A. FIDO認証とパスワード認証の最大の違いは、サーバーと端末で「秘密」を共有しない点です。パスワード認証はサーバーに保管した秘密の文字列を通信でやり取りして照合するため、使い回し・フィッシング・漏洩で盗まれる経路が残ります。一方のFIDO認証は、ログインに必要な秘密鍵が端末から出ず、サーバーには公開鍵しか置かれないため、サーバーが攻撃を受けても、なりすましに必要な情報は盗み出せません。
Q. FIDO認証のUAF・U2F・FIDO2のうち、どれを選べばよいですか？
A. これから自社サービスに新しく導入するなら、選ぶべきはFIDO2（WebAuthn＋CTAP）です。FIDO2は現行の標準で、専用機器を用意しなくても、PCやスマートフォンに内蔵された生体センサーをそのまま認証器として使えます。
UAFとU2FはFIDOの第1世代で、UAFはパスワードレス、U2Fはパスワードに追加する2つ目の要素という位置づけであり、現在広く使われるパスキーもFIDO2の上に成り立っています。
Q. FIDO認証はなぜ安全なのですか？本当に安全といえますか？
A. FIDO認証が安全なのは、ログインに不可欠な秘密鍵が端末の外に出ず、鍵が登録したサイト（ドメイン）にしか使えない仕組みだからです。
W3Cの仕様では、秘密鍵は認証器の持ち主にさえ取り出せないこと、公開鍵クレデンシャルは登録元のドメインからのみ利用でき、この範囲の制限をブラウザと認証器が協調して強制することが定められています。そのため、サーバーから情報が漏れても悪用できず、本物そっくりの偽サイトに誘導されても認証情報を渡してしまう経路が原理的に塞がれています。
出典・参考資料（2件）
Q. FIDO認証を導入するメリットと、注意すべきデメリットは何ですか？
A. FIDO認証の主なメリットは、パスワード管理から解放される利便性と、フィッシング・漏洩に強いセキュリティ、生体情報を預からずに済むプライバシー保護です。
一方で注意すべきデメリットは、秘密鍵を保管した端末を紛失・故障・買い替えするとログインできなくなる点と、利用者の端末やブラウザがFIDO2に対応していない場合がある点です。導入時は、端末を失った利用者の救済手段（バックアップの認証方法やサポート窓口）と、非対応環境向けの代替手段をあわせて設計しておく必要があります。
Q. FIDO認証とパスキーは何が違いますか？
A. FIDO認証とパスキーは別物ではなく、パスキーはFIDO認証の標準（FIDO2）にもとづく認証情報（クレデンシャル）です。FIDO認証が仕組み全体を指す規格の呼び名であるのに対し、パスキーはFIDO2の鍵をクラウド同期などで一般の利用者が使いやすい形にした実装を指します。
パスキーには、複数の端末で同期できる「同期パスキー」と、特定の端末から持ち出せない「デバイス固定パスキー」があり、利用者層やセキュリティ要件に応じてどちらを許可するかを設計することになります。
出典・参考資料（1件）
Q. FIDO2とWebAuthnはどう違うのですか？
A. WebAuthnは、FIDO2を構成する2つの仕様のうちの1つです。FIDO2は、ブラウザやアプリとやり取りする「WebAuthn（Web認証）」と、ブラウザと認証器をつなぐ「CTAP（Client to Authenticator Protocol）」の2つで構成されます。
このうちWebAuthnはW3C、CTAPはFIDOアライアンスが策定しており、両者を合わせた全体がFIDO2です。したがってWebAuthnはFIDO2の一部であり、FIDO2と対立する別規格ではありません。
出典・参考資料（2件）
Q. FIDO認証を自社サービスに手軽に導入する方法はありますか？
A. FIDO認証は、パスキー・FIDO2に対応した認証SDKやCIAM（顧客ID・アクセス管理）を利用すれば、仕様を自前で実装せずに組み込めます。WebAuthnなどを一から実装する方法もありますが、仕様の理解や保守の負担が大きいため、多くの企業は認証基盤を利用して開発の手間を抑えています。
本記事で紹介したAuth0・Amazon Cognito・Keycloakなどが代表例で、利用中の基盤やサービスの規模、求めるカスタマイズ性に合わせて選べます。
法人向けサービスを課題別に探すならMCB FinTechカタログ
MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。生体認証・パスキー認証SDKのほかの課題も、あわせてご確認ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
