ワンタイムパスワードとFIDO2・パスワードレス認証とは？わんたいむぱすわーどとふぁいどつーぱすわーどれすにんしょう
ワンタイムパスワードは一度きり有効な使い捨ての合言葉で、盗まれても再利用できないようにする方式（時刻同期方式・チャレンジレスポンス方式）。FIDO2は合言葉自体を無くし、端末内に置いた秘密鍵の署名で本人を示す方式で、サーバ側に盗める秘密が残らない。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
固定パスワードの弱点は、同じ値が利用者側とサーバ側の双方に存在し、どちらから漏れても成りすませる点にある。値を毎回変えれば再利用は防げるが、人に入力させる限り偽サイトへ打ち込ませる余地は残る。そこで「入力させない・サーバに置かない」ところまで進めたのがFIDO2で、秘密の共有をやめる方向へ対策の軸が動いている。
具体例
Google Authenticatorが表示する6桁は、共有した種と現在時刻から30秒ごとに算出するTOTP。一方パスキー（FIDO2/WebAuthn）では、iPhoneの Face ID やWindows Helloの生体認証は端末内で秘密鍵を解錠するためだけに使われ、生体情報そのものはサーバへ送られない。
試験での引っ掛け
SMSで受け取るワンタイムパスワードは、SIMスワップや中継型フィッシングで奪われうる。FIDO2が偽サイトに強いのは署名の対象に接続先のドメインが含まれるからであって、生体認証を使うから強いのではない。生体情報がサーバへ送られると誤解しないこと。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。