WebAuthnとは？

WebAuthn（Web Authentication API）とは、W3CとFIDOアライアンスが共同で策定したWeb標準仕様で、パスワードに依存せずに指紋・顔認証・PINといった認証方式や物理的なセキュリティキーを使ってWebサービスに安全にログインできる仕組みです。2019年にW3Cの勧告（Recommendation）となっています。

WebAuthnでは公開鍵暗号方式が使われます。ユーザーが認証器（スマートフォンの生体センサー、YubiKeyなどのハードウェアキー）を登録する際に公開鍵と秘密鍵のペアが生成され、秘密鍵は認証器の中から外部に出ることはありません。ログイン時はサーバーから送られたチャレンジ（ランダムデータ）を秘密鍵で署名して返し、サーバーが公開鍵で検証します。

WebAuthnのセキュリティ上の利点は以下の通りです。

• パスワードがサーバーに保存されないのでデータ漏洩リスクがない
• フィッシング攻撃への耐性が高い（登録したドメイン以外では動作しない）
• リプレイ攻撃を防ぐチャレンジ・レスポンス方式
• 生体情報はデバイス外に出ないのでプライバシーが保護される

Google、Apple、Microsoft、Facebookなど主要サービスが対応しており、主要ブラウザでも標準サポートされています。パスキー（Passkeys）はWebAuthnをベースにした実装であり、パスワードレス認証の普及を大きく加速させています。