読了時間の目安は、5分です。
こんばんは。管理人のuncleゆーさん（@UncleYusan）です。
金融機関に口座を持つ方にとって、セキュリティと利便性のバランスは常に悩ましい問題です。
米大手銀行のU.S. Bank（USバンク）が昨年10月から「パスキー（Passkey）」を導入したそうです。残念ながら、そうした案内は一切なく、先日たまたま公式サイトを見ていて気づきました。
早速設定してみたのですが、結論から言うと、期待していた「爆速ログイン」には程遠く、 現状では少しクセのある仕様になっていました。
日本でも、SBI証券や楽天証券などが昨年パスキーを導入しましたが、今回のことが、パスキーを理解するよいきっかけになるのではと思い、今回は、このことを紹介したいと思います。
そもそも「パスキー」とは何か？
パスキーを一言で言えば、 「パスワードを使わずに、生体認証やPINでログインする仕組み」です。
従来のパスワード方式はフィッシング詐欺に弱い一方、 パスキーは公開鍵暗号方式を利用し、 秘密鍵をデバイス内に安全に保存します。
- パスワードを覚えなくていい：管理の手間から解放
- フィッシング詐欺に強い：偽サイトでの入力ミスが起こらない
- 素早いアクセス：生体認証一発（のはず）
U.S. Bankでのパスキー設定方法
設定自体は非常にスムーズでした。
- U.S. Bank公式サイトまたはアプリにログイン
- 「Security」または「Login Options」から「Passkeys」を選択
- 「Create a Passkey」をクリックし、生体認証やPINを登録
- 最大5つまで登録可能
※日本からは専用アプリがダウンロードできません。
ここまでは「さすが米国の銀行」と感心していたのですが、 問題はこの後でした。
実際に使ってわかった「3つの大きな問題点」
二段階認証（2FA）がスルーされない
最大のがっかりポイントです。 パスキーでログインしても、その後にパスコード（認証コード）入力が必須。
SBI証券や楽天証券ではパスキー＝2FA完結、つまり、2FAを設定していてもパスキーでログインすれば、認証コードが送られてこないので、入力する必要がありません。
USバンクの場合、たとえパスキーでログインしても、その後送られてる認証コードを入力しないとログインできません。これではまったく、利便性が向上しません。
Windows Hello依存の謎仕様
実際に私の環境では、BitwardenやAppleパスワードを登録できたものの、ログイン時に呼び出されたのはWindows Helloのみでした。
（環境依存の可能性はあります）
私の自宅のデスクトップパソコンではPIN入力となり、 結果として手間が増えてしまいました。
それではどうするか？
二段階認証をオフにするのはアリ？
ひょっとしたら、パスキー設定をした場合、認証コードの入力不要にするには、手動で2FAをオフにしないといけないのかなあと思い、やってみました。
確かにやってみると、認証コードは送られてこなくはなりますが、絶対におすすめしません。というのもパスワードでログインしても２FAなしにログインできてしまうからです。パスワード漏洩時に即アウトです。
パスキー一本化でいけば
では、「パスワードを使えないようにして、パスキー一本にすればいいのでは？」とも考えました。
しかし、そうした設定はUSバンクの場合そもそもできません。
どうしてできないのか？というより、させないのか？
理由は “ユーザーがパスキーを失ったときのリスク” が大きすぎるから。
銀行は「セキュリティ」だけでなく「確実にアクセスできること」も守らないといけません。
パスキーはデバイス依存の秘密鍵です。
- スマホ紛失
- PC故障
- OS初期化
- パスキーアプリの同期トラブル
これらが起きると、パスキーが消えることにもなりかねない。
金融機関としては、「ログインできない＝お金にアクセスできない」という事態を絶対に避けたいのです。
だから、復旧手段としてパスワードを残しているのです。それは、顧客の利益を守るというだけでなく、金融機関側の法的リスクや本人確認のための高コストを避けるという意味合いが大きいです。
だから、この点がクリアにならない限り、パスワードとパスキーの併存はしばらくなくならないはずです。
私はどうするか？
今回の件を踏まえて、金融機関のログインについては、以下の運用方針でいこうと思います。
・ログインは可能な限りパスキーを使う
・パスワードは今よりも強固にし、Bitwardenに保存
・2FAはSMSではなく、できるだけTOTPを利用
・Bitwardenが重要インフラになるため、定期的にバックアップ
まとめ
今回の記事は、いかがでしたでしょうか？
USバンクのパスキーですが、「？？？」の謎仕様でしたが、ひょっとしたら米国内での利用では問題なく利用ができるのかもしれません。
実際に米国内で利用されている方がいたら、コメントいただければ幸いです。
最後まで読んでいただきありがとうございました。
この記事がお役に立てたのならうれしいです。
今回の記事が良ければ、ブックマークとスターをお願いします。
また、SNSでシェアして頂けると、モチベーションが上がります。
今後も役に立つ、記事を配信していきます！
