今も使われ続けている「最悪のパスワード」発表、侵害される前にすぐ変更を

しかしながら、パスキーの導入は一筋縄ではいかない。NCSCは、端末に紐づくパスキー、物理トークン型、同期型など複数種類のパスキーが存在し、それらが統一的にサポートされていないことを指摘する。ユーザーは技術の違いを理解しにくく、またパスキーを導入するウェブサイトやサービス側も、ユーザーのパスキー管理方法を把握してアカウントを保護する必要があり、実装が複雑になる。「ユーザーは認証がうまく動けばそれでいいと思っており、内部の技術的な違いは知りたくないのに、こうした不統一が混乱や不満を招いている」とレポートは述べている。

さらに、端末を紛失した際のリスクを懸念する声もある。パスキーが保存されている端末をなくせば、ログインできなくなるのではないかと不安になるのは当然だ。NCSCのレポートには「パスキーをパスワードの代わりとするには、ユーザーが端末を失った場合にどうするかを事前に理解しておく必要がある」とある。ただし、実際には多くのサービスがバックアップ用のパスワードや2要素認証コードなどを設定可能にしており、オフラインで安全に保管しておくことで紛失リスクを補える仕組みを提供している。

パスワードハッキングのリスクを減らすために今できること

先に述べたように、パスキー対応のサービスがあれば積極的に移行するのが望ましい。Passkeys.ioのデモを試せば、パスキーの作成と使用がどれほど簡単か実感できる。技術的に見れば、パスキーはハッカーが推測したり傍受したりすることが事実上ほぼ不可能であり（無論、100％というものは存在しないが）、サインイン時にもパスキー自体が共有されるわけではなく、キーはランダムに生成される。

パスワードを安全に保つ上でも、同様の発想が有用だ。パスワードマネージャーを使ってランダムに生成し、強度・複雑性・一意性を高める。またパスワードの使い回しは厳禁である。「password」や「qwerty123」のようなパスワードを使っているなら、まずそれを真っ先に改めるべきだ。

（forbes.com 原文）