ワンタイムパスワードとFIDO2・パスワードレス認証とは？わんたいむぱすわーどとふぁいどつーぱすわーどれすにんしょう
ワンタイムパスワードとFIDO2・パスワードレス認証とは、一度きり有効な使い捨てパスワードで再利用を防ぐ方式と、端末内の秘密鍵による署名で共有秘密そのものを無くすFIDO2系の方式。前者はサーバと利用者が秘密を持ち続けるのに対し、後者は漏えいしても再利用できる材料がサーバ側に残らない。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
固定パスワードは、盗まれた時点から何度でも使える。有効期間を短く切るワンタイムパスワードはこれを緩和したが、サーバ側に共有秘密（種）が残る構造は変わらず、リアルタイム中継型のフィッシングにも抜かれる。そこで秘密をサーバへ渡さず、署名の対象に接続先のドメインを含めることで偽サイトを構造的に排除する設計へ移ったのがFIDO2である。
具体例
Googleアカウントは、TOTPの6桁とパスキー（FIDO2）の双方を提供している。設計側の判断は、認証器の紛失や機種変更時の復旧手段をどう用意するかに移り、そこを詰めないまま強い認証だけ入れると、正規の利用者を締め出す事故になる。
試験での引っ掛け
SMS経由のワンタイムパスワードは、SIMスワップやリアルタイム中継型のフィッシングで奪われる。FIDO2が強い理由は署名対象に接続先ドメインが入り偽サイトでは署名が成立しないことで、生体認証を使うからではない。生体情報が端末内に留まる点も混同しやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。