『秘密鍵を持つのは"本人"のみ』という大前提があり、鍵の非対称性によって本人確認をするのがデジタル署名。セキュリティ周りは訳語が理解を妨げることがあるので、まずは英語で勉強した方がよい。
生体認証はあくまで鍵を「使う」時で、サイトとデバイスの間は公開鍵暗号技術を利用、というのを雑に「パスキーは生体認証」と言う事に、「違うよなぁ」と思っていたら、徳丸さんが太鼓判押してくれた。
質問者偉い。まずこれ関連のネットの情報は言い訳を書いた上でほぼ大半が間違っている。で、それを入り口に学んだ人がさらに間違った情報を広めるのが現状。なので、一歩目でちゃんと違和感を払拭する事はとても大事
“公開鍵暗号には、狭義の公開鍵暗号と、広義の公開鍵暗号があります。パスキーで使われているのは広義のほう。狭義の方をPublic Key Encryption(PKE)、広義の方をPublic Key Cryptography(PKC)と表記する場合も”
なるほどなあ
"パスキーで使われているのは、広義の公開鍵暗号" "紛らわしいので、狭義の方をPublic Key Encryption(PKE)、広義の方をPublic Key Cryptography(PKC)と表記する場合があり"
あーこれ、たぶん忘れてまた読みにきそう
関連メモ。https://blog.jxck.io/tags/#passkey
パスキー利用時の生体認証はクライアント側の署名実行に必要な手続き、実体はデジタル署名
個人的にはSSHの公開鍵認証をエンドユーザー向けにしたものみたいなイメージをしている
つまり公開鍵暗号と呼んで良い(紛らわしいけど)と書いてある気もするけど、公開鍵暗号と呼ぶのは間違ってるみたいなブコメが人気でどっちなんだ
訳語の問題やね。文脈で判断できるが、日本語ならどっちもそう呼ぶわなあ感。早くクソ訳語を滅ぼせ
公開鍵を使った認証システム
実際パスキーは 1password につっこめるから、生体認証でもなんでもない
質問者みたいな人と一緒に働きたい
基本情報の資格を取ってから約10年、とくに資格を活かすこともなく、学んだことの復習もせずに生きてきたので、もう、こういうのを読んでもよくわからなくなっている。
ワイ、パスワードマネージャーにパスワードでログインしてパスキー使ってるので生体認証挟んで無いしなぁ
「広義の公開鍵暗号」なんてアホっぽい言い方初めて聞いた。公開鍵の仕組みを利用した「暗号化」と「署名」で何の問題もない。なんぜわざわざ「狭義」「広義」という曖昧でわかりにくい言い回しをするのやら。
生体認証の部分は「本人であること」を確認しているだけな認識
現代の電子署名は暗号化も復号化もしない。よって公開鍵『暗号』ではない。でも署名の生成や検証に公開鍵暗号と同じ数学的枠組みは使っている。……あとは呼び方の問題。
sshの公開鍵認証をWeb向けにしたもの、であってる。基本的には端末のTPMに保管した秘密鍵を端末認証（≒生体認証）でしか取り出せなくしたもの。ただPasskeyの実装には1passwordみたいな緩いやつもある。
かつてガチガチの認証器を想定していたけれど、そうもいかなくなり、今はとにかく脱パスワードしようというスタンスという認識
説明うまいなぁ。
てか、公開鍵暗号を暗号化に使うことがほぼ無いことを教えてあげればいい。PKIの勘違いもあるので、SSLを学べばOKだ。
パスキーの本質はディジタル署名による認証
パスワードマネージャに突っ込んでるのに生体認証ウンタラが関係あんのかと思ってたよ
「SSH公開鍵認証のWeb版です」 我々的にはこれが一番分かりやすい。一般向けの説明はできる気がしない…
混乱を招かないためだろうけどこの徳丸先生の説明もFIDOの範囲に終始していて、クレデンシャルをデバイス間で共有するという本来のパスキーの部分(同期パスキー)はいつも無視されてるよなと思う
わかってると思ってたことが違ってたので、この質問者さんに感謝
ブコメのSSHの例えは分かりやすいので今度から使わせてもらおう
“公開鍵暗号には、狭義の公開鍵暗号と、広義の公開鍵暗号があります。パスキーで使われているのは、広義の公開鍵暗号です”
国語力・論理力の問題だな。暗号化なら公開鍵で暗号化する教科書の記述も間違ってないだろうし、秘密鍵で署名を行う公開鍵暗号方式を署名に用いられることも否定していない。
「パスキーで使うのは公開鍵と秘密鍵を用いたデジタル署名」「パスキーはデジタル署名を用いた認証」
質問してプロ中のプロから的確な解説もらえるのもまたインターネット
初めて質問させていただきます。 パスキーの仕組みについてわからないことがあります。 巷で解説されているパスキー認証の仕組みサイトを読むと、 ①サーバーからデバイスにチャレンジが送られる ②デバイスが秘密鍵でチャレンジに署名をして送り返す ③サーバーが署名を公開鍵で復号してチャレンジと同じか検証する というような事が書かれています。 そしてその仕組みは「公開鍵暗号方式」が使われていると書かれています。 けれども、基本情報技術者の教科書を読むと、公開鍵暗号方式は ①受信者の公開鍵で暗号化し ②受信者の秘密鍵で
『秘密鍵を持つのは"本人"のみ』という大前提があり、鍵の非対称性によって本人確認をするのがデジタル署名。セキュリティ周りは訳語が理解を妨げることがあるので、まずは英語で勉強した方がよい。
生体認証はあくまで鍵を「使う」時で、サイトとデバイスの間は公開鍵暗号技術を利用、というのを雑に「パスキーは生体認証」と言う事に、「違うよなぁ」と思っていたら、徳丸さんが太鼓判押してくれた。
質問者偉い。まずこれ関連のネットの情報は言い訳を書いた上でほぼ大半が間違っている。で、それを入り口に学んだ人がさらに間違った情報を広めるのが現状。なので、一歩目でちゃんと違和感を払拭する事はとても大事
“公開鍵暗号には、狭義の公開鍵暗号と、広義の公開鍵暗号があります。パスキーで使われているのは広義のほう。狭義の方をPublic Key Encryption(PKE)、広義の方をPublic Key Cryptography(PKC)と表記する場合も”
なるほどなあ
"パスキーで使われているのは、広義の公開鍵暗号" "紛らわしいので、狭義の方をPublic Key Encryption(PKE)、広義の方をPublic Key Cryptography(PKC)と表記する場合があり"
あーこれ、たぶん忘れてまた読みにきそう
関連メモ。https://blog.jxck.io/tags/#passkey
パスキー利用時の生体認証はクライアント側の署名実行に必要な手続き、実体はデジタル署名
個人的にはSSHの公開鍵認証をエンドユーザー向けにしたものみたいなイメージをしている
つまり公開鍵暗号と呼んで良い(紛らわしいけど)と書いてある気もするけど、公開鍵暗号と呼ぶのは間違ってるみたいなブコメが人気でどっちなんだ
訳語の問題やね。文脈で判断できるが、日本語ならどっちもそう呼ぶわなあ感。早くクソ訳語を滅ぼせ
公開鍵を使った認証システム
実際パスキーは 1password につっこめるから、生体認証でもなんでもない
質問者みたいな人と一緒に働きたい
基本情報の資格を取ってから約10年、とくに資格を活かすこともなく、学んだことの復習もせずに生きてきたので、もう、こういうのを読んでもよくわからなくなっている。
ワイ、パスワードマネージャーにパスワードでログインしてパスキー使ってるので生体認証挟んで無いしなぁ
「広義の公開鍵暗号」なんてアホっぽい言い方初めて聞いた。公開鍵の仕組みを利用した「暗号化」と「署名」で何の問題もない。なんぜわざわざ「狭義」「広義」という曖昧でわかりにくい言い回しをするのやら。
生体認証の部分は「本人であること」を確認しているだけな認識
現代の電子署名は暗号化も復号化もしない。よって公開鍵『暗号』ではない。でも署名の生成や検証に公開鍵暗号と同じ数学的枠組みは使っている。……あとは呼び方の問題。
sshの公開鍵認証をWeb向けにしたもの、であってる。基本的には端末のTPMに保管した秘密鍵を端末認証（≒生体認証）でしか取り出せなくしたもの。ただPasskeyの実装には1passwordみたいな緩いやつもある。
かつてガチガチの認証器を想定していたけれど、そうもいかなくなり、今はとにかく脱パスワードしようというスタンスという認識
説明うまいなぁ。
てか、公開鍵暗号を暗号化に使うことがほぼ無いことを教えてあげればいい。PKIの勘違いもあるので、SSLを学べばOKだ。
パスキーの本質はディジタル署名による認証
パスワードマネージャに突っ込んでるのに生体認証ウンタラが関係あんのかと思ってたよ
「SSH公開鍵認証のWeb版です」 我々的にはこれが一番分かりやすい。一般向けの説明はできる気がしない…
混乱を招かないためだろうけどこの徳丸先生の説明もFIDOの範囲に終始していて、クレデンシャルをデバイス間で共有するという本来のパスキーの部分(同期パスキー)はいつも無視されてるよなと思う
わかってると思ってたことが違ってたので、この質問者さんに感謝
ブコメのSSHの例えは分かりやすいので今度から使わせてもらおう
“公開鍵暗号には、狭義の公開鍵暗号と、広義の公開鍵暗号があります。パスキーで使われているのは、広義の公開鍵暗号です”
国語力・論理力の問題だな。暗号化なら公開鍵で暗号化する教科書の記述も間違ってないだろうし、秘密鍵で署名を行う公開鍵暗号方式を署名に用いられることも否定していない。
「パスキーで使うのは公開鍵と秘密鍵を用いたデジタル署名」「パスキーはデジタル署名を用いた認証」
質問してプロ中のプロから的確な解説もらえるのもまたインターネット