パスキーと FIDO2（パスワードレス認証）とは｜仕組みと試験のポイント・予想問題

シラバスに追加済み・出題あり最終更新日 2026年10月4日予想問題へ ↓

パスキーは，パスワードを使わずにログインするための仕組みです。利用者は端末の指紋認証・顔認証や PIN でロックを解除するだけで，裏では端末の中の秘密鍵でデジタル署名を作ってサーバに送ります。土台になっているのは FIDO Alliance と W3C がまとめた FIDO2（WebAuthn と CTAP）という規格で，パスキーはその鍵を複数の端末で使いやすくしたものです。

シラバスでの扱い

2023年12月25日に公開された応用情報技術者試験シラバス Ver.7.0 で，「大分類3：技術要素」の「中分類11：セキュリティ」にある「利用者認証」の用語例に， パスワードレス認証（FIDO UAF，FIDO U2F，FIDO2，WebAuthn）が加わりました。ワンタイムパスワードや多要素認証と並んでいます（その前の Ver.6.3 にはありません）。最新の Ver.7.2 にも同じ形で載っています。「パスキー」という語そのものは用語例にありません。

ただし，情報処理安全確保支援士の試験では，シラバスに加わる前から出題されています。当サイトが収録している過去問（令和7年度秋期まで）では，午前Ⅱで3問，午後で1問です（下の「試験での問われ方」）。この改訂は，ペーパー方式では令和6年度秋期試験から適用されています。

出典：応用情報技術者試験シラバス Ver.7.0，同 Ver.7.2，同 Ver.6.3（いずれも2026年10月4日に確認）

仕組み：登録とログイン

パスワードは，利用者とサーバが同じ秘密を持ち合う方式です。サーバから漏れたり，偽サイトで入力させられたりすると，そのまま使われてしまいます。 FIDO2 は公開鍵暗号を使い，サーバには公開鍵しか渡さないことでこれを避けます。

登録：認証器（スマートフォンや PC，USB の鍵など）が，サイトごとに鍵ペアを作ります。秘密鍵は認証器の中に残し，公開鍵だけをサーバに登録します
ログイン：サーバが毎回違う値（チャレンジ）を送ります。利用者が指紋・顔・PIN で認証器のロックを解除すると，認証器はチャレンジとアクセスしているサイトの情報（オリジン）に秘密鍵で署名して返します
検証：サーバは，登録済みの公開鍵で署名を確かめ，オリジンが自分のものであることを確かめます

サーバに届くのは署名だけ。登録のときにサーバへ渡すのは公開鍵だけ

生体認証は認証器の中だけで行います。指紋や顔のデータは，Web ブラウザにもサーバにも送られません。サーバに届くのは署名だけで，生体認証は認証器が秘密鍵を使ってよいかを決めるために使われます。

比べて覚える：パスワード・ワンタイムパスワード・FIDO2

	サーバが持つもの	偽サイトに入力すると
パスワード	パスワード（のハッシュ値）	盗まれて，何度でも使われる
ワンタイムパスワード	値を作るための共有の秘密	有効な間に中継されると使われる
FIDO2（パスキー）	公開鍵だけ	署名に偽サイトのオリジンが入るので，本物のサイトでは通らない

このように，偽サイトに誘導されても認証を使い回されない性質をフィッシング耐性といいます。ワンタイムパスワードは毎回値が変わるので使い回しには強いものの，偽サイトがその場で本物のサイトに中継する攻撃は防げません。

FIDO の規格とパスキー

名前	中身
FIDO UAF	端末の生体認証などでパスワードの代わりにする規格（パスワードレス）
FIDO U2F	パスワードに USB の鍵などを2つ目の要素として足す規格（2段階）
FIDO2	Web ブラウザから使えるようにした規格。WebAuthn と CTAP の2つからなる
WebAuthn	Web サイトと Web ブラウザの間の手順（W3C の勧告）
CTAP	Web ブラウザ・OS と外付けの認証器（USB の鍵やスマートフォン）の間の手順（FIDO Alliance）
パスキー	FIDO2 の鍵（認証情報）のこと。クラウドを通じて利用者の複数の端末で同期できるもの（同期パスキー）と，1台の認証器から出ないものがある

従来の FIDO の鍵は1台の認証器に閉じていたので，端末を買い替えたりなくしたりすると登録し直す必要がありました。パスキーは鍵を暗号化したまま同期できるようにして，パスワードの代わりとして普段使いしやすくしたものです。

出典：FIDO Alliance「Passkeys」， W3C「Web Authentication: An API for accessing Public Key Credentials Level 2」（いずれも2026年10月4日に確認）

試験での問われ方

当サイトが収録している午前の問題のうち，これらの語が出てくるのは3問です。どれも情報処理安全確保支援士の午前Ⅱです。

FIDO UAF に基づく認証を選ぶ（令和元年度秋期問1）：正解は「スマートフォンで顔認証を行った後，スマートフォン内の秘密鍵でディジタル署名を生成して，そのディジタル署名を認証サーバに送信した。」。指紋情報そのものを認証サーバに送る選択肢は誤りです
パスキーで生体情報を受け取るのは誰か（令和6年度秋期問7）：Web ブラウザ・Web サーバ・IdP のどれも「受信しない」が正解です
誤りの選択肢として（令和3年度春期問17）：認証なしで無線 LAN を暗号化する Enhanced Open を選ぶ問題で，FIDO2 と WebAuthn が並びました

午後では，情報処理安全確保支援士午後令和5年度秋期問3 の設問2(5) で，偽サイトでログインしても不正ログインされない WebAuthn の仕組みを40字以内で答える問題が出ました。解答例は「認証に用いる情報に含まれるオリジン及び署名をサーバが確認する仕組み」です。採点講評は「正答率が低かった」としたうえで，「WebAuthnをクライアント証明書認証やリスクベース認証などほかの認証方法と誤認した解答が多かった」と指摘し，「Passkeyという新たな方式も登場し，普及し始めている。ほかの認証方法とどのように異なるのか，技術的な仕組みを含め，よく理解してほしい。」と結んでいます。

これから問われそうなところ（予想）：

フィッシング耐性の理由：署名にオリジンが含まれること。ワンタイムパスワードとの違い
サーバが持つのは公開鍵だけ：サーバから漏れても，なりすましに使えない
応用情報・高度の午前Ⅰ：シラバスに加わったので，パスワードレス認証の説明を選ぶ形で出る可能性があります

出題された過去問（3問）

リンク先の年度ページで，問題と解説を読めます。

情報処理安全確保支援士午前Ⅱ（3問）

令和6年度秋期問7ある IdP（Identity Provider）は，パスキー（Passkey）認証をサポートし…
令和3年度春期問17RFC 8110 に基づいたものであり，公衆無線 LAN などでパスフレーズなどでの認証なしに，…
令和元年度秋期問1認証処理のうち，FIDO（Fast IDentity Online）UAF（Universal …

予想問題（オリジナル）

当サイトが作ったオリジナルの問題です。IPA の過去問ではありません。ほかの用語の予想問題の一覧

問1FIDO2（WebAuthn）による認証が，フィッシングサイトに誘導された場合でも不正ログインを防げる理由として，適切なものはどれか。

アログインのたびに異なるワンタイムパスワードを生成して送信するから
イ認証器が署名する情報にアクセス中のサイトのオリジンが含まれ，サーバがそれと署名を検証するから
ウ利用者の生体情報をサーバに登録しておき，ログインのたびにサーバで照合するから
エWeb ブラウザとサーバの間の通信を TLS で暗号化するから

正解と解説

正解：イ

偽サイトでログインしようとすると，署名に含まれるオリジンは偽サイトのものになります。攻撃者がその応答を本物のサイトに中継しても，オリジンが一致しないので受け付けられません。そもそも認証器は，本物のサイト用の鍵を別のサイトには使いません。

ア：ワンタイムパスワードは，偽サイトが有効な間に本物のサイトへ中継すると使われてしまいます。
ウ：FIDO2 では生体情報は認証器の中だけで使い，サーバには送りません。
エ：TLS は通信路を守りますが，偽サイトとの間でも TLS は成り立つので，誘導そのものは防げません。

問2パスキー（Passkey）に関する記述として，適切なものはどれか。

ア利用者が設定したパスワードを暗号化して，複数の端末の間で同期する仕組みである。
イ利用者の指紋や顔の特徴量をクラウドに保存し，どの端末からでも照合できるようにする仕組みである。
ウサーバが発行したクライアント証明書を端末に保存し，TLS の接続時に提示する仕組みである。
エFIDO の認証で使う秘密鍵を含む認証情報であり，利用者の複数の端末で同期して使えるものがある。