「Passkey は罠」使うなという主張
原題: Passkeys are a trap. Do not use them
なぜ重要か
認証標準の設計思想が「利用者の自律性」より「プラットフォーム側の管理」に傾いているという批判は、今後の標準化議論に影響を与えうる視点だ。
Substack のブログ「Non-Functional」が2026年10月10日、Passkey は利用者の利益を最優先に設計されていないと主張する記事を公開した。筆者は、Passkey の標準化団体「FIDO Alliance」にはビッグテック・諜報機関・銀行などが参加する一方、消費者擁護団体が一切含まれておらず、ユーザーが自身の認証情報を完全に管理できない構造的問題があると指摘する。
パスワードに代わる認証手段として各サービスが普及を進めるPasskeyについて、あるブロガーが「Trojan Horseだ」と強く警告する記事を発表し、技術コミュニティで議論を呼んでいる。
筆者が最も問題視するのは「コントロールの非対称性」だ。パスワードならどこに書き留めるかを自分で決められる。認証アプリも互換性が高く選択肢が広い。物理セキュリティキーは信頼できる同僚に手渡せる。しかしPasskeyには、利用するウェブサイト側が徐々にユーザーの操作の自由を奪える隠れた仕組みが組み込まれているという。
Passkeyを推進するFIDO Allianceの構成員についても言及している。同団体にはGoogleやAppleなどのビッグテック、各国政府・諜報機関、銀行、Mozillaなどが名を連ねる。それぞれの動機として、ビッグテックは広告収益拡大、諜報機関はトラッキング強化、銀行は免責範囲の拡大などを挙げた。一方で、消費者擁護団体は一切参加していない。これをW3Cと比較し、W3CにはTimBerners-Leeや大学・公益団体が参加していると対比させた。
パスワードの問題点についても認めている。SolarWindsが「solarwinds123」というパスワードを使用していた事例や、ハワイ非常管理局の職員がカメラに付箋のパスワードを映してしまった事例を挙げ、パスワードが実際に脆弱であることは否定していない。ただし、パスワードには「誰でも理解できる直感的な仕組み」と「保管場所・共有相手を自分で決められる自由」があると評価する。
さらに、パスワードのセキュリティ問題は二段階認証（2FA）などですでに解決済みだとも主張しており、Passkey導入の必要性そのものに疑問を呈している。記事の対象読者は「技術的でない一般のウェブ利用者」と明記されており、啓発目的の内容となっている。