PJ-T&C合同会社

FIDO2（ファイド・ツー）とは？基本をわかりやすく解説

FIDO2の定義と読み方

FIDO2は「ファイド・ツー」と読みます。

FIDOとは「Fast IDentity Online（高速オンライン認証）」の略で、パスワードに依存しない認証技術の標準化を推進する業界団体「FIDO Alliance」が策定した国際規格です。その第2世代規格がFIDO2であり、現在のパスワードレス認証の事実上のグローバルスタンダードとなっています。

💡 FIDOの基礎概念についてはこちらの記事もあわせてご参照ください：
[FIDOとは？認証規格の基本を解説した入門記事（pj-tc.com）]

本記事では「FIDOとは何か」という基礎定義の深掘りはそちらに譲り、2026年現在において実際にFIDO2基準を満たすにはどうすればよいか、パスキー・セキュリティキーの選定・導入という実務的な観点を中心に解説します。

——

＼＼＼企業で導入できるセキュリティソリューションをお探しの方は、専門ページからお問合せください／／／
https://security.pj-tc.com/contact/

——

FIDO2が生まれた背景——なぜパスワードだけでは不十分なのか

パスワード認証には、構造的な弱点があります。

これらのリスクに共通するのは、「パスワードという秘密情報を、ユーザーとサーバーの双方が保持している」という構造的な問題です。サーバーが保持する限り、サーバーが侵害されれば情報が漏洩するリスクは避けられません。

FIDO2はこの構造を根本から変えるために設計されました。秘密情報（秘密鍵）はユーザーのデバイス上だけに存在し、サーバーには絶対に送信されない——これがFIDO2の核心です。

FIDO2を構成する2つの仕様——WebAuthnとCTAP

FIDO2は、以下の2つの独立した仕様が組み合わさることで成立しています。

WebAuthn（Web Authentication）

W3C（World Wide Web Consortium）が標準化した、ブラウザとWebサービス（サーバー）の間の通信規格です。

• Webサービス側（リライングパーティ）とブラウザが、どのように認証要求・応答をやり取りするかを定義する
• Chrome・Firefox・Safari・Edgeなど主要ブラウザはすべてWebAuthnに対応済み
• OSレベルでも、Windows（Windows Hello）・macOS・Android・iOSが対応

CTAP（Client to Authenticator Protocol）

FIDO Allianceが定義した、ブラウザ・OSと外部認証器（セキュリティキー等）の間の通信規格です。

• 現在の主流はCTAP2（CTAP2.1が最新）
• セキュリティキーをUSBで接続したとき、あるいはNFCでタッチしたときに、どのようにデータをやり取りするかを定義する
• HID（Human Interface Device）プロトコルを利用してデバイスと通信する

2つが組み合わさった認証フロー

[ユーザー] → [ブラウザ/OS] ←—WebAuthn—→ [Webサービス（サーバー）]
                  ↕
               CTAP2
                  ↕
         [認証器（セキュリティキー / スマホ等）]

登録時：

1. Webサービスがブラウザに「認証器を登録してください」と要求（チャレンジを送信）
2. ブラウザがCTAP経由で認証器に指示を送る
3. 認証器が秘密鍵・公開鍵のペアを生成する
4. 公開鍵だけがWebサービスのサーバーに送られ登録される（秘密鍵はデバイス内に留まる）

認証時：

1. Webサービスがランダムな「チャレンジ（乱数）」をブラウザに送る
2. ブラウザがCTAP経由で認証器に署名要求を送る
3. 認証器が秘密鍵でチャレンジに署名して返す
4. Webサービスが登録済みの公開鍵で署名を検証し、本人確認を完了する

このフローのポイントは、秘密鍵が一度もデバイスの外に出ないことです。たとえ通信が傍受されても、公開鍵と署名されたチャレンジしか存在しないため、攻撃者は秘密鍵を入手できません。

FIDO2が使用するセキュリティアルゴリズム

BioPassFIDO2のスペックに代表されるように、FIDO2準拠製品では以下のアルゴリズムが採用されています。

これらが採用されている最大の理由は、計算量的複雑性にあります。現在のコンピューター能力では、これらの暗号を解読するために天文学的な計算時間が必要であり、現実的な攻撃が成立しません。加えて、サーバー側には公開鍵しか存在しないため、仮にサーバーが侵害されても秘密鍵は漏洩せず、認証の根幹が守られます。

パスキー（Passkey）とは？FIDO2との関係を整理する

パスキーの定義——パスワードレス認証の新標準

パスキー（Passkey）は、FIDO2をベースに構築されたパスワードレス認証の仕組みです。

FIDO2の技術的な仕様（WebAuthn + CTAP）を活用しつつ、Apple・Google・Microsoftが2022年に共同でその実装標準を策定・推進し、現在では「パスワードレス認証の新標準」として急速に普及しています。

仕組みの核心は同じです。ユーザーのデバイス上で秘密鍵・公開鍵のペアが生成され、公開鍵だけがサービスのサーバーに登録されます。認証時には、デバイスに保存された秘密鍵で署名を生成し、サーバーが公開鍵で検証するという流れです。

パスキーとパスワードの違い

パスキーがフィッシングに強い理由は明確です。パスキーの秘密鍵は特定のサービスのドメインと紐付いて生成されます。偽サイト（異なるドメイン）に誘導されても、そのドメインに対応する鍵ペアは存在しないため、認証自体が成立しません。ユーザーが気づかず偽サイトにアクセスしても、パスキーは「騙されない」のです。

パスキーとセキュリティキーの違い——同期型vs非同期型

ここは2026年時点で最も重要な整理ポイントです。「パスキー」と「セキュリティキー」はいずれもFIDO2ベースですが、秘密鍵の保管場所と同期の有無で根本的に異なります。

同期型パスキー（Synced Passkey）

iCloudキーチェーン・Googleパスワードマネージャー・Microsoft Authenticatorなどのクラウドサービスを通じて秘密鍵が複数デバイス間で同期されるタイプです。

• メリット： スマートフォンやPC単体で完結。機種変更しても引き継ぎ可能。導入コストゼロ。
• セキュリティレベル： 高い（パスワードより遥かに安全）。ただし、クラウドアカウント自体が侵害されると影響を受ける可能性がある。
• 向いているシーン： 個人利用、一般的なWebサービスへのログイン。

非同期型パスキー（Device-bound Passkey / セキュリティキー）

物理的なハードウェアトークン（セキュリティキー）に秘密鍵が保管され、クラウドへの同期は行われないタイプです。秘密鍵はチップ内に封印され、外部に取り出すことは設計上不可能です。

• メリット： 秘密鍵が物理デバイス外に絶対に出ない。クラウドアカウントの侵害の影響を受けない。
• セキュリティレベル： 最高位。
• 向いているシーン： 金融機関、法人環境、特権アカウント管理。

なぜ法人・金融機関では物理セキュリティキーが最高位とされるのか

金融機関や企業のセキュリティ担当者が物理セキュリティキーを選ぶ理由は、以下の2点に集約されます。

① 秘密鍵の取り出し不可（Device-bound）
クラウド同期型パスキーは、Googleアカウントや AppleIDが侵害された場合、理論上、パスキー自体が危険にさらされる可能性があります。一方、物理セキュリティキーに保存された秘密鍵はチップ外への抽出が設計上不可能であり、物理的に盗まれない限り秘密鍵は保護されます。

② フィッシング耐性がハードウェアレベルで保証される
物理キーは特定のドメインに紐付いた認証のみを行います。ソフトウェア的な脆弱性や、クラウドサービスのAPI経由での攻撃を受けるリスクが構造上存在しません。Titan Security KeyがGoogleによって特殊なファームウェア整合性検証機能を設計した事実も、このセキュリティレベルの高さを裏付けています。

パスキーが使えるサービス・対応状況（2026年時点）

FIDO2/U2F準拠のセキュリティキーおよびパスキーは、以下のサービスで利用可能です。

グローバル対応サービス（例）：

• Microsoftアカウント
• Google / Google Workspace（旧G Suite）
• Dropbox
• Salesforce
• Facebook

国内対応サービス（例）：

• IceWall（HP製認証基盤）
• マガタマサービス

対応サービスは年々急速に拡大しており、2026年現在では主要なWebサービスの大多数がパスキー認証に対応しています。

FIDO2の基準を満たすには？認証の仕組みと要件を解説

FIDO2認証の基本フロー（登録〜認証まで）

前述の技術説明を、より具体的な操作レベルで整理します。

登録フロー

1. ユーザーがサービスにアクセスし、「パスキーを登録する」を選択
2. サービスがWebAuthn経由でブラウザにチャレンジ（乱数）を送信
3. ブラウザがOS/認証器に対して鍵ペア生成を要求（CTAP2）
4. 認証器が秘密鍵・公開鍵ペアを生成
5. ユーザーが生体認証またはPINで本人確認（ローカル認証）
6. 公開鍵・チャレンジへの署名・デバイス情報をサービスに送信
7. サービスが公開鍵を登録（秘密鍵はデバイス内に留まる）

認証フロー

1. ユーザーがサービスのログイン画面にアクセス
2. サービスが新たなチャレンジ（乱数）をブラウザに送信
3. ブラウザが認証器に署名要求を送信（CTAP2）
4. ユーザーが生体認証またはPINで本人確認
5. 認証器が秘密鍵でチャレンジに署名
6. 署名データをサービスに送信
7. サービスが登録済み公開鍵で署名を検証し、ログイン完了

重要なポイント： ステップ6で送信されるのは「署名されたチャレンジ」であり、秘密鍵そのものではありません。このチャレンジは毎回異なる乱数であるため、傍受しても再利用（リプレイ攻撃）はできません。

FIDO2基準を満たすために必要な4つの要素

「FIDO2基準を満たす」という読者の目的に対し、以下の4つの条件がすべて揃う必要があることを理解してください。1つでも欠けると、FIDO2認証は成立しません。

現在の状況では①②③は多くのユーザーにとって自然に揃っています。実際に準備が必要なのは④の認証器です。

個人ユーザーが今すぐできるFIDO2対応の手順

Googleアカウントでのパスキー登録

1. Googleアカウントにログインし、「Googleアカウントの管理」を開く
2. 「セキュリティ」→「パスキー」を選択
3. 「パスキーを作成する」をクリック
4. スマートフォンまたはPCの生体認証（指紋・顔）を使って確認
5. 登録完了。次回ログイン時からパスキーで認証可能

Microsoftアカウントでのパスキー登録

1. account.microsoft.com にアクセス
2. 「セキュリティ」→「高度なセキュリティオプション」→「新しいサインイン方法を追加する」
3. 「顔、指紋、PIN、またはセキュリティキーを使用する」を選択
4. 画面の指示に従いデバイスまたはセキュリティキーを登録

スマートフォンをパスキーとして使う

iPhoneであればiCloudキーチェーン、AndroidであればGoogleパスワードマネージャーと連携し、スマートフォン自体がパスキーとして機能します。QRコードを使ったスマートフォン認証（Hybrid Transport / CTAP2.1）にも対応しており、PCのログイン時にスマートフォンをセカンドデバイスとして使うことも可能です。

法人・企業がFIDO2基準を満たすためのポイント

導入の考え方

法人環境でのFIDO2導入は、以下の段階で進めることが現実的です。

Step 1：対象アカウントの特定
まず特権アカウント（管理者権限を持つアカウント）から導入を優先します。侵害時のリスクが最も大きいアカウントを先に保護することが合理的です。

Step 2：認証器の選定と配布
個人所有デバイスへのパスキー同期に依存せず、企業が管理するセキュリティキーを社員に配布する形が推奨されます。紛失・退職時の鍵の失効管理もこの方が確実です。

Step 3：予備キーの確保（リスク管理）
後述するFAQでも触れますが、1人あたり最低2本のセキュリティキーを配布し、1本を予備として保管することを運用ポリシーとして定めてください。

管理者が押さえるべき運用・ポリシー設定

• 登録キー数の管理： 誰がどのキーをどのサービスに登録しているかを台帳管理する
• 失効フロー： 退職・紛失時に速やかに登録キーを無効化できる手順を整備する
• 複数登録の強制： 予備キー登録を必須とするポリシーをシステムレベルで設定する（多くのFIDO2対応サービスは複数の認証器登録をサポート）
• バックアップ認証方式： セキュリティキー紛失時の代替認証方法（例：管理者によるリセット手順）を文書化しておく

FIDO2対応セキュリティキーとは？選び方と主要製品を比較

セキュリティキーの仕組みと役割

物理的なハードウェアトークンがなぜ安全なのか——その理由は「秘密鍵がチップ外に出ない」という設計にあります。

セキュリティキーの内部には、秘密鍵を保護するためのセキュアエレメント（Titan Security Keyの専用セキュアエレメントチップが好例）が搭載されており、ソフトウェア的に秘密鍵を読み出すことは不可能です。仮にマルウェアに感染したPCに接続しても、マルウェアはセキュリティキー内の秘密鍵を抽出できません。

通信面では、CTAPプロトコルに基づき以下の方式でデバイスと通信します。

• HID（USB）： USB-Aまたは USB-CでPCに直接接続
• NFC： スマートフォンなどにタッチして非接触通信

セキュリティキーを選ぶ際の5つのチェックポイント

① インターフェース（USB-A / USB-C / NFC）

使用するデバイスのポートを確認してください。

• USB-A： 多くのWindowsデスクトップ・ノートPCで使用可能
• USB-C： 近年のMacBook・最新Androidスマートフォン・最新Windowsノートに対応
• NFC： スマートフォンでのタッチ認証に対応。スマホ利用が多いユーザーに必須

② 認証方式（指紋認証 / PIN＋タッチ）

• 指紋認証型： キー自体に指紋センサーがあり、セキュリティキーに直接触れながら指紋認証を行う。PIN入力不要で操作が直感的
• PIN＋タッチ型： PCにPINを入力後、キーに触れることで認証する。PIN管理が必要だが一般的に低価格

③ FIDO2/U2F準拠認定の有無

FIDO Allianceによる公式認定（Certified）を取得した製品を選ぶことが重要です。認定マークがない製品は、互換性や安全性に懸念が生じる場合があります。

④ 対応OS・デバイス

使用環境（Windows / macOS / Linux / Android / iOS）との互換性を確認してください。特にiOSデバイスでは、NFC対応かつAppleが認定する製品である必要があります。

⑤ 価格帯・耐久性

後述の比較表を参照してください。日常的に持ち歩くなら耐衝撃性・防水性も重要な選定基準です。

主要セキュリティキー製品の比較一覧

⚠️ 価格注記： 以下の価格はすべて 2026年3月時点の参考価格（税込） です。販売店・時期により変動しますので、購入時は各販売店でご確認ください。

YubiKey シリーズ（Yubico）

Yubico社が製造する、世界でもっとも普及しているセキュリティキーブランドです。

全シリーズに共通する特徴として、高耐久性・耐衝撃性・防水性能が挙げられます。キーホルダーに取り付けて日常的に持ち歩くユーザーにも対応できる堅牢性は、YubiKeyシリーズの大きな強みです。

Titan Security Key（Google）

GoogleがFIDOオープン標準に基づいて設計したセキュリティキーです。

カラーはホワイト。最大の特徴はGoogle自身が設計した専用セキュアエレメントチップを搭載している点で、ファームウェアの整合性検証（特殊ファームウェア）をGoogleが担保しています。フィッシング防止・高度な保護機能を求める法人ユーザーに適しています。

ThinC-AUTH BF2A（グローバルアドバンス）

• 参考価格： 16,660円（税込）
• インターフェース： USB
• 認証方式： 指紋認証
• 規格： マイクロソフト認定FIDO2対応
• 在庫状況： 通常24時間以内出荷（2022年12月中旬発売）

指紋認証によりパスワードを完全に代替し、セキュリティと利便性を両立したモデルです。Microsoftの認定を取得しており、Windows環境との親和性が高い点が特徴です。

BioPassFIDO2（Feitian Japan）

• 規格： FIDO2/U2F準拠
• インターフェース： USB Type-A または USB Type-C（選択可能）
• 認証方式： 指紋認証（最大50個の指紋を登録可能）
• 通信プロトコル： CTAP・HID
• セキュリティアルゴリズム： ECDSA・SHA256・AES・HMAC・ECDH

50個の指紋登録が可能なため、複数の指での登録による誤認識防止が可能です。Type-A/Type-Cの選択肢があるため、使用環境に合わせてインターフェースを選べる柔軟性があります。

TrustKey T110

• 参考価格： 約4,582円〜（本比較中の最安クラス）
• インターフェース： USB-A
• 認証方式： PIN＋タッチ（非生体認証）
• 規格： FIDO2/U2F対応・二要素認証対応

生体認証機能を省くことで価格を大幅に抑えたモデルです。「まずFIDO2認証を導入したい」というエントリーユーザーや、コスト重視の法人での大量配布に適しています。

製品比較一覧表

指紋認証モデル vs PIN＋タッチモデル——どちらを選ぶべきか

指紋認証モデルが向いているユーザー・シーン

メリット：

• PIN入力が不要。操作が直感的でスムーズ
• PINの漏洩リスクがない（ショルダーハッキング対策）
• 「本人しか使えない」という証明をハードウェアレベルで担保

推奨シーン・ユーザー：

• 役員・経営層など高い権限を持つアカウントの保護
• 共有スペース・オープンオフィスなど他者の目が気になる環境
• セキュリティ意識が高く、コストよりも利便性と安全性を重視するユーザー

推奨製品： YubiKey Bio FIDO Edition（高信頼性重視）、BioPassFIDO2（指紋登録数重視）、ThinC-AUTH BF2A（Microsoft環境重視）

PIN＋タッチモデルが向いているユーザー・シーン

メリット：

• 価格が低い（約4,582円〜）。大量配布コストを抑えられる
• 指紋センサーが不要なため、機械的な故障リスクが相対的に低い
• 公共のPC（指紋センサーが使えない場合も）でも利用可能

推奨シーン・ユーザー：

• 「まずFIDO2認証を導入したい」エントリーユーザー
• 社員全員へ配布する法人での大量導入
• 物理的なセキュリティキーが初めてで、試してみたいユーザー

推奨製品： TrustKey T110（コスト最優先）、Titan Security Key・YubiKeyシリーズ（信頼性とのバランス）

価格帯の整理

エントリー（PIN＋タッチ）：  TrustKey T110        約 4,582円〜
          ↓
ミドル（PIN＋タッチ）：      YubiKey 5C NFC       約 9,280円〜
                            YubiKey 5 NFC        約11,670円〜
          ↓
ハイエンド（指紋認証）：     ThinC-AUTH BF2A      16,660円
                            BioPassFIDO2         ―（要確認）
                            YubiKey Bio FIDO     約24,125円

FIDO2・パスキー・セキュリティキーに関するよくある質問（FAQ）

Q. FIDO2とFIDO U2Fは何が違うの？

A. U2F（Universal 2nd Factor）はFIDO Allianceが策定した旧規格で、あくまでも「パスワード認証に加えるセカンドファクター」として設計されていました。つまりパスワードは依然として必要でした。

FIDO2は、パスワードを完全に置き換える「パスワードレス認証」を実現するために設計された進化版です。U2Fは FIDO2に統合されており、FIDO2準拠のセキュリティキーはU2F対応サービスでも後方互換として動作します。

Q. パスキーはスマホを機種変更したらどうなる？

A. 同期型パスキー（iCloud / Googleパスワードマネージャー経由）の場合は、同じアカウントにログインすることで新デバイスに自動的に引き継がれます。 iPhoneであればiCloudキーチェーン、AndroidであればGoogleパスワードマネージャーが同期を担います。

ただし、引き継ぎに失敗するリスクや、クラウドアカウントにアクセスできなくなる緊急時に備えて、物理セキュリティキーを予備として登録しておくことを強く推奨します。これは同期型パスキーの最大のリスク管理策でもあります。

Q. セキュリティキーを紛失したときはどうすればいい？

A. セキュリティキー紛失時の対応は、事前の準備ができているかどうかで大きく変わります。

事前準備ができている場合（推奨）：

• 予備として登録していた第2のセキュリティキーでログインする
• ログイン後、紛失したキーをサービス側から登録解除する

事前準備ができていない場合：

• バックアップコード（多くのサービスが発行）でログインし、鍵の登録解除と再登録を行う
• サービスの運営者（法人の場合は管理者）によるアカウントリセット手順を踏む

最も重要なリスク管理の原則： 同じサービスに最低2本のセキュリティキーを登録してください。これは任意ではなく、セキュリティキー運用の鉄則です。物理デバイスである以上、紛失・破損・故障のリスクはゼロではありません。予備キーがない状態でキーを紛失すると、最悪の場合アカウントにアクセスできなくなります。

Q. 複数のサービスに1本のセキュリティキーを使い回せる？

A. はい、使い回せます。これがFIDO2の重要な特性のひとつです。

FIDO2では、同一のセキュリティキーを使って複数のサービスにそれぞれ異なる鍵ペアを登録できます。GoogleアカウントにもMicrosoftアカウントにも、同じ1本のセキュリティキーで認証できます。かつ、各サービスでの鍵ペアは互いに独立しており、あるサービスの鍵情報から別のサービスの鍵情報を特定することはできません。

Q. iPhoneやAndroidだけでFIDO2認証は完結できる？

A. はい、完結できます。

• iPhone（iOS 16以降）： Face ID / Touch IDを使ったパスキー認証が可能。iCloudキーチェーンと連携して同期型パスキーとして機能します。
• Android（Android 9以降）： 指紋認証・顔認証を使ったパスキー認証が可能。Googleパスワードマネージャーと連携します。

スマートフォンをそのまま認証器として使えるため、追加コストなしでFIDO2認証を体験できます。ただし、前述の通り、セキュリティレベルの最大化と機種変更時のリスク管理のため、物理セキュリティキーを予備として持つことを検討してください。

まとめ——FIDO2・パスキー・セキュリティキーを正しく活用しよう

FIDO2の要点を整理する

• FIDO2は国際標準規格であり、WebAuthn（W3C）とCTAP（FIDO Alliance）の2仕様で構成される
• **核心は「秘密鍵をデバイス外に出さない」**公開鍵暗号方式にある。サーバー侵害でも秘密情報は漏洩しない
• ECDSA・SHA256・AES・HMAC・ECDHという堅牢なアルゴリズムにより、計算量的に解読不可能なセキュリティを実現する
• FIDO2基準を満たすには、ブラウザ・OS・サービス・認証器の4つが揃う必要がある

パスキーとセキュリティキーの使い分けの指針

今すぐできる第一歩

難しく考える必要はありません。まずは以下の手順から始めてください。

1. Googleアカウントまたはよく使うサービスでパスキーを有効化する（コスト0・5分で完了）
2. 同じサービスに予備の認証方法（バックアップコードまたは予備キー）を登録する
3. 重要なアカウント（職場・金融）には物理セキュリティキーの導入を検討する

パスワードの時代は終わりつつあります。FIDO2・パスキー・セキュリティキーを正しく理解し活用することが、2026年以降のデジタルセキュリティの基本スキルです。本記事が、その第一歩を踏み出すきっかけになれば幸いです。