ハードウェアバウンド・パスキー：普及に向けた本当の競争

1. はじめに：消費者市場の競争を制するのは誰か？#

ハードウェアバウンド・パスキーは最も安全なログイン方法ですが、消費者向けアプリでこれを使用している人はほとんどいません。セキュリティキーのメーカーやスマートカードのメーカーは長年このフォームファクターを推進してきました。それでも、FIDO Alliance Authentication Barometer 2024によると、消費者向けの銀行におけるハードウェアバウンド・パスキーのアクティベーション率は、2025年現在でも5%未満にとどまっています。

理由は単純です。StatCounterによるとAppleとGoogleがモバイルシェアの99%以上を支配しており、どの種類のパスキーをユーザーに最初に表示するかは彼らが決定するからです。したがって、消費者市場での競争は最強のキーを持つ企業が勝つわけではありません。ハードウェアをソフトウェア、データ、そして流通と組み合わせた企業が勝利するのです。

1.1 用語解説：ハードウェアバウンドと同期型パスキー#

ハードウェアバウンド・パスキーとは、物理的なセキュアエレメント内に秘密鍵がロックされているFIDO2クレデンシャルです。鍵がデバイスから離れることはありません。同期型パスキーも同じFIDO2暗号を使用しますが、iCloud Keychain、Google Password Manager、またはサードパーティのマネージャーを通じてクラウド経由でデバイス間に鍵をコピーします。W3C WebAuthn Level 3仕様では、どちらも同じクレデンシャルタイプとして扱いますが、ストレージポリシーが異なります。業界では、ハードウェアバウンド・パスキーを「デバイスバウンド・パスキー」や「ハードウェアバウンドWebAuthnクレデンシャル」とも呼びます。この記事ではこれらを同義語として使用します。

よくある誤解は、スマートフォンやノートパソコンのセキュアエレメントでバックアップされたパスキーはすべてハードウェアバウンドであるというものです。実際には、Apple Secure EnclaveとAndroid StrongBoxは、デフォルトでiCloud KeychainやGoogle Password Managerを通じて同期するパスキーをホストしているため、クラウドから秘密鍵を復元できます。今日、キーを厳密にローカルに保持している唯一の消費者向けセキュアエレメントはWindows Hello TPMですが、MicrosoftでさえEdge内で同期へと移行しつつあります。Windows Helloは追加のハードウェア購入が不要でノートパソコンに内蔵されているため、この記事ではハードウェアバウンドの消費者市場の競争からは除外し、専用のセキュリティキー、FIDO2スマートカード、暗号資産ウォレットに焦点を当てます。

この一つの違い、つまり鍵がハードウェアから外に出るかどうかが、NISTの保証レベルからリカバリーフローに至るまで、その後のほぼすべての特性を決定します。NIST SP 800-63Bでは、ハードウェアバウンド・パスキーを最高レベルのAAL3と位置づけていますが、同期型パスキーはAAL2に制限されています。この1段階のギャップは、所持要素のバインディングを必要とする規制機関（PSD2、PSD3、NYDFS Part 500、RBI 2024、APRA CPS 234など）にとって重要です。

1.2 なぜ同期型パスキーがデフォルトになったのか#

同期型パスキーがデフォルトの位置を占めたのは、AppleとGoogleが先にリリースし、プロンプトを制御しているからです。Appleは2021年にiCloud Keychainのパスキー同期サポートを追加し、2022年にはGoogleのPassword Managerがそれに続きました。両社ともWebAuthn Conditional UIを利用して、自動入力バー内に同期型クレデンシャルを直接表示しています。ハードウェアオーセンティケーターは、どのデフォルトのフローでも1〜3回のクリックの奥に隠されています。

FIDO Alliance Online Authentication Barometer 2024によると、世界の消費者の64%がパスキーを認知しており、53%が少なくとも1つのアカウントでパスキーを有効にしています。それらの登録のほとんどは同期型です。

1.3 消費者市場の競争が実際に起こる場所#

この記事において、「消費者」とはCIAMを指します。銀行、暗号資産取引所、政府のウォレット、クリエイタープラットフォームなどにログインする外部顧客について話しています。すでにハードウェアバウンド・パスキーが支配的である従業員のログイン（ワークフォースID）の話ではありません。興味深い疑問は、次にどのユーザージャーニーが開かれ、どの企業がそこに最初に到達するかということです。

この競争は、消費者が実際に取得する必要がある2つのフォームファクターと、3つの流通経路にまたがっています。

• フォームファクター: USBまたはNFCセキュリティキー、および決済カードに組み込まれたFIDO2スマートカード。暗号資産のハードウェアウォレットは、3つ目のニッチなカテゴリーとしてこの両者と並んでいます。
• 流通経路: 消費者への直接販売、銀行や政府からユーザーに出荷されるデバイス、およびセルフカストディのユーザーによって購入される暗号資産ウォレット。

1.4 本記事の要旨#

優れたハードウェアは必要ですが、それだけではもはや十分ではありません。最強のチップを持つベンダーが自動的に消費者の普及を獲得するわけではないのです。本当のボトルネックはシリコンより上の層にあります。ブラウザのプロンプト、異なるAndroidスマートフォンのNFCスタック、デバイス紛失後のリカバリー設計、そして消費者への流通です。勝者となるのは、ハードウェアと普及エンジニアリング、そしてパスキーオブザーバビリティを組み合わせた企業です。

この記事の残りの部分では、歴史、プレーヤー、阻害要因、現実世界のユースケース、そしてエンタープライズから消費者市場へ飛び出そうとするあらゆる企業のための実践的なプレイブックを順を追って解説します。

2. ハードウェアオーセンティケーターの歩み#

ハードウェアバウンドのクレデンシャルは新しいものではありません。FIDOよりも約30年古いものです。PKIスマートカードは1990年代に政府で導入され、NIST FIPS 201 PIV標準によって体系化されました。その後、エンタープライズVPNでRSA SecurIDトークンが登場しました。EMVチップ＆PINカードは2002年に決済の分野に到達しました。EMVCoの報告によると、現在120億枚以上のEMVカードが流通しており、これは決済カードのチップが歴史上最大規模で展開されたハードウェア暗号プラットフォームであることを意味します。

IDEMIA、Thales、Infineonによって運営され、年間30億個以上のチップを製造する同じセキュアエレメントのサプライチェーンが、現在FIDO2スマートカード内部のシリコンを製造しています。ハードウェアオーセンティケーターをFIDO2へと導いた3つの業界の変化は、2014年から2018年までのわずか4年間で起こりました。

2.1 U2FからFIDO2へ (2014年〜2018年)#

FIDO Allianceは2014年にFIDO U2Fを立ち上げ、いくつかのセキュリティキーベンダーから最初のハードウェアトークンが出荷されました。Googleは2017年までに89,000人以上の従業員にU2Fキーを展開し、Krebs on Securityによると、その翌年にはフィッシング関連のアカウント乗っ取りがゼロになったと報告しました。しかし、U2Fはあくまでも第2要素にすぎませんでした。ユーザーは依然としてパスワードを持っており、ハードウェアのタップは単なる追加ステップでした。フォームファクターはエンタープライズ向けのままでした。Googleのスタッフ、政府機関、そして少数の暗号資産取引所向けの小型USBキーです。

2018年のFIDO2とWebAuthnは、U2Fを完全なパスワードレスのフレームワークに変えることでこの状況を一変させました。以前は第2要素をバックアップしていた同じセキュアエレメントが、今ではメインのログインクレデンシャルをバックアップできるようになったのです。

2.2 パスキーのブランディングシフト (2022年)#

2022年5月、Apple、Google、Microsoft、そしてFIDO Allianceは共同で、FIDO Alliance Authenticateカンファレンスにて「パスキー」というブランドを発表しました。同期型とデバイスバウンドの両方のFIDO2クレデンシャルについて、消費者が理解できるシンプルで単一の言葉を作ることが目的でした。

Appleの開発者リリースノートによると、Appleは2022年9月にiOS 16でiCloud Keychainのパスキー同期を展開しました。Googleは2022年10月に、IdentityブログによるとAndroid 9以降でそれに続きました。

Microsoftは3社の中で出遅れました。Windows Helloドキュメントによると、Windows Helloは2015年からTPMバウンド、デバイスバウンドのクレデンシャルを提供していましたが、消費者向けアカウントでは何年もの間デバイス間でパスキーを同期することができませんでした。Microsoftが消費者向けMicrosoftアカウントにパスキーのサポートを追加したのは2024年5月になってからであり、Microsoft Edge Password Managerでの同期型パスキーはさらに遅れ、2025年になりました。したがって、AppleとGoogleが同期型消費者パスキーで2〜3年の先行利益を得たのに対し、Microsoftは現在でも自社ブラウザ内でのデバイス間同期を追いかけている状況です。

ハードウェアベンダーは、4大企業によるこの大規模なリブランディングがセキュリティキーやスマートカードの需要を押し上げることを期待していました。しかし、そうはなりませんでした。FIDO Alliance Barometerによると、消費者向けの新規登録のほぼすべてを同期型パスキーが吸収したのです。

2.3 2つのトラックへの分岐#

それから18ヶ月以内に、エコシステムは明確に2つのトラックに分かれました。消費者トラックは同期型パスキーが支配的となり、AppleとGoogleが自社のマネージャーを中心にデフォルトのフローを構築しました。一方エンタープライズトラックではハードウェアバウンド・パスキーが支配的であり、IT部門が従業員のID管理のためにセキュリティキーやFIDO2スマートカードを購入しています。FIDO Allianceは、このエンタープライズ市場におけるハードウェアオーセンティケーターの年間支出を10億米ドル以上と評価しています。

ハードウェアベンダーが消費者市場を諦めたわけではありません。本当の疑問は、彼らにまだ信頼できる道が残されているのか、それともOSレイヤーが彼らを完全に閉め出してしまったのかということです。

3. 消費者市場の競争に参加しているのは誰か？#

2つのフォームファクターがスペースを争っています。セキュリティキーは、愛好家や企業への直接販売をリードしています。スマートカードは、銀行を通じた最大の流通チャネルを持っています。EMVCoの統計によると、毎年15億枚以上のEMVカードが発行されています。

競合するベンダーは2つの陣営に分かれます。セキュリティキーメーカーは、USBやNFCキーをエンドユーザーや企業に直接販売します。スマートカードとセキュアエレメントのメーカーは、銀行が発行するチップやカードを製造します。それぞれの陣営が異なる単価の問題に直面しており、どちらも単独では消費者流通のギャップを解決できていません。

3.1 セキュリティキーのフォームファクターをリードするのは誰か？#

このセグメントでは複数のセキュリティキーメーカーが競争しています。現代のセキュリティキーは通常、USB-A、USB-C、NFC、Lightningを介してFIDO2、FIDO U2F、スマートカードPIV、OpenPGP、OTPをサポートしており、デバイス上に指紋センサーを追加しているものもあります。以下の表は、消費者およびエンタープライズ市場における最も関連性の高いベンダーの概要です。

各メーカーの価格ページによると、単一のデバイスのコストは40〜80米ドルであり、エンタープライズ環境では管理可能ですが、消費者規模での導入の障壁となります。この価格設定に伴うNFC、リカバリー、流通の問題については、セクション4で詳しく説明します。

3.2 スマートカードのフォームファクターをリードするのは誰か？#

スマートカードメーカーは、銀行が発行するFIDO2セグメントで競争しています。ベンダーの状況はカードメーカーとチップサプライヤーに分かれています。CompoSecure（Arculus FIDO2製品を出荷）、IDEMIA、NagraID、Feitian、TrustSECなどのカードメーカーはFIDO2カード自体を製造しています。チップサプライヤーであるIDEMIA、Thales、Infineonの3大セキュアエレメントメーカーは、ほとんどのカードに内蔵されるセキュアエレメントを製造しています。IDEX Biometricsは、スマートカードを生体認証スマートカードに変えるオンカード指紋センサーを供給しています。

カード発行者への流通は、既存の決済カードのサプライチェーンを通じてすでに解決されています。課題は、単価のプレミアムを吸収するよう発行者を説得し、NFCタップがデバイス間で確実に機能するようにすることです。

FIDO2スマートカードは、メタルまたは生体認証カード本体のベースコスト5〜15米ドルに加えて、2〜5米ドルのコストが上乗せされます。Juniper Research 2024によると、生体認証決済カードは2027年までに世界で1億4000万枚を超えると予測されています。

3.3 ハイブリッドや隣接する分野はどうなっているか？#

どちらのフォームファクターにもきれいに収まらない、同じユースケースを巡って競合する製品がいくつかあります。Ledgerは700万個以上のNanoウォレットを出荷し、Trezorは200万個以上を出荷しています。どちらも暗号資産ストレージの上の副次的な機能としてFIDO2を提供しています。 Apple Secure EnclaveやAndroid StrongBoxのようなスマートフォンのセキュアエレメントは、技術的にはハードウェアで秘密鍵を保護しますが、AppleとGoogleはデフォルトでiCloud KeychainとGoogle Password Managerを通じてパスキーを同期します。そのため、ユーザーから見える動作はハードウェアバウンドではなく同期型パスキーとなります。Token RingやMojo Visionのリングのようなウェアラブルオーセンティケーターは、公式の声明によると出荷台数が10万台未満にとどまっています。

言い換えれば、消費者市場の競争は実際にはセキュリティキーとスマートカードの二者択一であり、暗号資産ウォレットが第3のカテゴリ、ウェアラブルは1%未満の補足に過ぎないということです。

4. 消費者の普及を妨げるものは何か？#

消費者市場におけるハードウェアバウンド・パスキーの普及を妨げる4つの構造的な逆風があります。OSとブラウザのプロンプトの階層、AndroidにおけるNFCの断片化、デバイス紛失後の困難なリカバリー、そして直接販売のコストです。これらはいずれもハードウェアベンダー単独では解決できません。

4.1 OSとブラウザの階層#

AppleのAuthenticationServicesはデフォルトでiCloud Keychainを使用します。リライングパーティがauthenticatorAttachmentをcross-platformに設定した場合でも、ユーザーはプラットフォームのシートを先に閉じる必要があります。GoogleのCredential ManagerもAndroid上でGoogle Password Managerを使用して同じ動作をします。StatCounterによるとSafariとChromeを合わせるとモバイルブラウザシェアの約84%を占めるため、実質的に2つのベンダーが消費者向けウェブ全体のプロンプトのUXを設定していることになります。

StatCounterの全世界のモバイルシェアと比較したセキュリティキーの集計出荷データに基づくと、99%以上の消費者が専用のセキュリティキーを所有していないため、ブラウザはハードウェアキーのUXに対する投資を怠りがちです。これがフィードバックループを生み出します。UXが悪いと普及率が下がります。普及率が低いと投資が行われません。投資がないとUXが悪いままになります。

4.2 AndroidにおけるNFCの断片化#

AndroidにおけるNFCの動作はメーカーによって大きく異なります。Samsung、Xiaomi、Oppo、Google Pixelはすべて、Androidオープンソースの上に異なるNFCスタックを搭載しています。Android Issue Trackerによると、Android 14のビルドの中には、2024年の数ヶ月間、サードパーティのパスキープロバイダーのサポートを壊したものさえありました。Pixel 8で正常にタップできるFIDO2スマートカードが、Galaxy S23 Ultraでは失敗し、Xiaomi 14ではまた違った挙動を示すかもしれません。そして、Google Android互換性プログラムのいかなる中央テストプログラムも、消費者に届く前にこれらのリグレッションを検知できません。

4.3 リカバリーと紛失#

同期型パスキーは、ユーザーが新しいデバイスにサインインしたときに自動的に復元されます。ハードウェアクレデンシャルはそうはいきません。セキュリティキーを紛失したりスマートカードを破損したりしたユーザーは、アカウントのリカバリーや、しばしばセキュリティの低い方法を経由しなければなりません。Verizonの2024年データ漏えい侵害調査報告書によると、侵害の68%は、クレデンシャルリカバリーの悪用など、悪意のない人的要素が関与しています。NIST SP 800-63Bもまた、アカウントリカバリーが認証侵害の一般的な経路であると明確に警告しています。したがって、ハードウェアのバインディングはリカバリーチャネルの強度に依存しており、つまりリライングパーティはシリコンベンダーと同じくらい多くのセキュリティ上の負担を担っていることになります。

4.4 流通とコスト#

消費者向けセキュリティキーは、メーカーの価格ページによると40〜80米ドルで販売されています。自分のアカウントが危険にさらされているとは考えていない消費者は、単にお金を払わないでしょう。コストを吸収する銀行や暗号資産取引所はデバイスを無料で提供できますが、その場合、サポートの負担を彼らが負うことになります。CompoSecureの投資家向け資料など、公開されているスマートカードベンダーの情報開示によると、クレジットカードにバンドルされたスマートカードは、カード1枚あたりの5〜15米ドルの基本コストに2〜5米ドル上乗せされます。

FIDO Alliance Barometerによると、ハードウェアがオプションとして提供されている場合でも、金融サービスにおける消費者登録の95%以上を同期型パスキーが占めているのは、これら4つの逆風が理由です。

5. ハードウェアバウンド・パスキーが実際に勝つ場所とは？#

消費者に専用のハードウェアを持ち歩く正当な理由を与えるカテゴリーが3つあります。銀行および決済、暗号資産のセルフカストディ、そして価値の高いアカウントです。それぞれが、強力な推進要因、信頼できる流通経路、摩擦を正当化するのに十分な重大な結果を兼ね備えています。これら3つのセグメント以外では、通常、同期型パスキーが利便性で勝ります。

5.1 銀行および決済#

銀行は最も自然な流通チャネルです。彼らはすでに物理的なカードを顧客に出荷しています。また、彼らはPSD2、PSD3、EBAのSCAに関する意見、RBIの2FA、NYDFS Part 500、APRA CPS 234などのルールの下で事業を展開しています。これらのルールの多くは、同期型パスキーでは明確に満たせない暗号学的な所持要素を必要としています。

「クレジットカードとしてのスマートカード」という仮説が機能するのは、カードがすでに存在しているからです。CompoSecureの10-Kによると、メタルカードを発行する銀行はカード1枚あたり5〜15米ドルを支払います。Juniper Researchの生体認証カードのコスト分析によると、FIDO2を追加すると7〜20米ドルになります。その後、その1枚のカードで、チップ＆PIN、NFCのタッチ決済、ATM引き出し、オンラインバンキングログイン、価値の高い3DSのトランザクション確認を処理します。消費者は「ハードウェアオーセンティケーターが必要ですか？」と聞かれることはありません。カードは単に郵送されてくるだけです。

5.2 暗号資産とセルフカストディ#

暗号資産のユーザーは、すでにハードウェアを持ち歩くという考えを受け入れています。Ledgerは700万個以上のNanoデバイスを出荷し、企業ページによると累積のハードウェア収益が40億米ドルを超えたと報告しています。Trezorは200万台以上を出荷しています。セキュリティキーもまた、Coinbase、Kraken、BinanceがすべてFIDO2キーをサポートするなど、暗号資産取引所のMFAにおいて長期にわたるポジションを確立しています。

ハードウェアウォレットにFIDO2を追加するのは追加のエンジニアリング作業です。50,000米ドルのポートフォリオを保護する100米ドルのデバイスは、明らかに持ち歩く価値があります。暗号資産は、ユーザーが自発的にハードウェアを購入する唯一の消費者カテゴリーであり続けています。

5.3 価値の高い消費者向けアカウント#

より小規模な消費者グループは、アカウントの乗っ取りが取り返しのつかない事態になるアカウントを保護しています。典型的な例は、メインのメール、政府のIDウォレット、YouTubeやTwitchのクリエイターアカウント、ジャーナリズムのクレデンシャルなどです。Googleの高度な保護機能プログラムは、この層を「ジャーナリスト、人権活動家、政治キャンペーンスタッフなど、リスクの高いユーザー」と説明しています。

OpenAIも2026年4月にChatGPT向けの高度なアカウントセキュリティプログラムで同じ戦略を取り、約68米ドルでYubiKey C NFCとYubiKey C Nanoの2個パックをYubicoと共同ブランドで提供しました。このプログラムはパスワード、メール、SMSによるサインインを完全に無効化し、パスキーまたは物理セキュリティキーを要求するもので、ジャーナリスト、選出された役人、反体制派、その他のリスクの高いChatGPTユーザーをターゲットにしています。この追加レイヤーのために68米ドルを支払うユーザーがどれだけいるか判断するのは時期尚早ですが、価値の高い消費者向けアカウントが、暗号資産や銀行以外で自主的なハードウェアの普及を促進できるかどうかについての、これまでで最も明確なテストです。

Ciscoの2024年サイバーセキュリティ準備状況インデックスでも、成熟したセキュリティ体制を備えている組織はわずか3%であることがわかっています。GAO 2024年サイバーセキュリティレポートは、連邦政府のサイバーセキュリティリスクのトップ5の1つとしてアカウント乗っ取りを挙げており、この保護を必要とする消費者のプールは当初のジャーナリズムのニッチ市場を超えて大きく広がっています。

6. ハードウェア単独では勝てない理由#

最高のハードウェアを所有していることが、消費者市場のシェアを保証するわけではありません。ハードウェアベンダーとエンドツーエンドの消費者向け製品との間には、流通、オンボーディング、リカバリー、デバイス間ジャーニー、および測定という5つのギャップがあります。それぞれのギャップには、シリコン設計の枠を超えるスキルが必要です。

1. 流通: ハードウェア企業は消費者との間に真の直接的な関係を持っていません。理論上は誰でもyubico.comからYubiKeyを注文できますが、実際の購入者はセキュリティ専門家、IT管理者、そして少数の愛好家層です。そのチャネルは、ブランド名を聞いたこともなく、50米ドルのオーセンティケーターを自分から探すことのない一般消費者にはスケールしません。銀行、通信会社、小売業者、OSベンダーが消費者との関係を持つ当事者であるため、消費者規模で展開するハードウェアベンダーにはパートナーシップまたはホワイトレーベル契約が必要です。
2. オンボーディング: 消費者がパスキーをセットアップするために必要な各ステップで、ユーザーは離脱します。現実世界の銀行の展開では、登録ファネル全体で30〜60%の離脱率が報告されており、これはBaymard Instituteのチェックアウト放棄率のベンチマークと一致しています。
3. リカバリー: リカバリーストーリーのない消費者向け製品は壊れています。リカバリーには、アカウントレベルのシグナル、身元確認（ID照合）、リスクスコアリングが必要であり、これらはすべてリライングパーティ内部に存在します。
4. デバイス間ジャーニー: 1人のユーザーがスマートフォン、ノートパソコン、スマートテレビ、車でサインインします。ハードウェアバウンドのクレデンシャルは1つのデバイスにしか存在しません。したがって、行き止まりを避けるためにハードウェアと同期型クレデンシャル間のスマートなルーティングが必要です。
5. 測定: ハードウェアベンダーは通常、出荷して終わりです。彼らは販売台数とライセンスのアクティベーション数を数えます。WebAuthnのセレモニーが失敗したり、ユーザーがタップを諦めたりするのを見ることはありません。測定がなければ、他の4つのギャップを埋めることはできません。

自社製品内でこれら5つのギャップを解決するベンダーは、エンドツーエンドの認証プラットフォームになります。そうしないベンダーはコンポーネントビジネスにとどまり、他社のプラットフォームに販売することになります。

7. 本当のレバーとは何か？普及エンジニアリング#

普及エンジニアリングとは、ハードウェアバウンド・パスキーと、登録を促進し、すべてのセレモニーを測定し、壊れた経路を回避してルーティングするソフトウェアを組み合わせることです。これらの活動はどれもハードウェアに関するものではありません。消費者市場で勝つためには4つすべてが必要であり、それらは閉じたループとしてのみ機能します。下の図は、4つの活動がどのようにお互いにフィードバックし合うかを示しています。

FIDO Alliance Authentication Barometer 2024によると、消費者の53%が少なくとも1つのアカウントでパスキーを有効にしていますが、規制されたジャーニーにおけるハードウェアバウンドのアクティベーションは依然として5%未満にとどまっています。これは10倍のギャップであり、普及エンジニアリングこそがそれを埋めるものです。W3C WebAuthnワーキンググループは、このギャップを仕様の問題ではなく展開の問題として扱っています。

7.1 ファネルレベルのテレメトリ#

ファネルレベルでは、パスキーオブザーバビリティによって「ユーザーがサインインをクリックする」から「セッショントークンが発行される」までのすべてのステップが測定されます。その計測機能がなければ、チームは「ユーザーがハードウェアオプションを見なかった」、「ユーザーはそれを見てタップしたがNFCが失敗した」、「ユーザーはセレモニーを完了したが、リライングパーティが結果を拒否した」という違いを見分けることができません。

ファネルのテレメトリにより、実際に重要となる指標（ハードウェアパスキーのアクティベーション率、デバイスごとのハードウェアパスキーの成功率、完了までの時間、ステップごとの離脱率）が得られます。W3C WebAuthn Level 3仕様は、セレモニーが返すことができる14の異なるエラーコードを定義していますが、FIDO Alliance Authenticate 2024のデプロイトークによると、ほとんどの本番環境のデプロイメントでは5つ未満しか計装されていません。

7.2 セッションレベルの診断#

単一の認証が失敗した場合、サポートチームは正確に何が起こったのかを確認する必要があります。セッションレベルの診断では、トランスポート（NFC、USB、またはBLE）、CTAPエラーコード、ブラウザ、OSバージョン、デバイスメーカー、およびセレモニー内の各ステップのタイミングをキャプチャします。FIDO CTAP 2.1仕様は、オーセンティケーターが返すことができる20以上のエラーコードを定義しており、これらはW3C WebAuthn Level 3仕様の特定のユーザーリカバリーアクションにマッピングされています。

このテレメトリがなければ、サポートエージェントには「ログイン失敗」としか表示されず、アカウントのリカバリーを開始してしまう可能性があります。

7.3 デバイスインテリジェントルーティング#

一部のデバイスとOSの組み合わせでは、常に問題が発生します。大規模な展開における現実世界のデータによると、Android Issue TrackerやFIDO Alliance Authenticate 2024のトークで文書化されている一般的なパターンでは、個々の壊れた組み合わせで40〜90%の中断率が示されています。

既知の破損した組み合わせではハードウェアオプションを隠し、次に最適なパスにフォールバックするルーティングロジックにより、ユーザーを障害ケースから遠ざけることができます。ただし、このようなルーティングの決定を下せるのは、OpenSignalデバイスデータベースで追跡されている約24,000の異なるAndroidデバイスモデル全体にわたって、オブザーバビリティデータが壊れたペアを特定した後でのみです。

7.4 発行者との継続的な反復#

アイデンティティプログラムに関するGartnerの調査によると、銀行やフィンテック企業は通常、6〜12ヶ月のサイクルで試験運用と本格展開を実施します。勝者となるプラットフォームは、オブザーバビリティデータを毎週のリリースノート、バグ修正、および着実に向上する成功率へと変換します。四半期ごとのレビューを伴う静的な展開は、継続的な反復に敗北します。

8. 結局、消費者市場の競争を制するのは誰か？#

純粋なハードウェアベンダーが消費者市場の競争に勝つことはありません。銀行と発行者、ソフトウェアレイヤーを構築するハードウェアベンダー、そしてOSプラットフォームという3つのアーキタイプが、消費者向け認証プラットフォームの役割をめぐって競争しています。銀行が現在リードしているのは、物理的な流通を所有しており、PSD2やNYDFS Part 500といった規制のカバー範囲にあるためです。OSプラットフォームは、販売するすべてのスマートフォンやノートパソコンの中にすでにシリコンを搭載していますが、AppleとGoogleがデフォルトでパスキーを同期する限り、それらは同期型パスキーにおける競合相手であり、ハードウェアバウンド・パスキーの競合相手ではありません。

8.1 なぜ現在銀行がリードしているのか#

銀行は今日、消費者向けハードウェアバウンド・パスキー市場をリードしています。4つの有利な条件が重なっています。1つ目は、すでに物理的なカードを発行していること。2つ目は、PSD2、PSD3、NYDFS Part 500、RBI、およびAPRA CPS 234による規制のカバー範囲にあること。3つ目は、消費者の信頼を得ていること。そして4つ目は、公開されているスマートカードベンダーの開示情報によると、ポートフォリオ全体で2〜5米ドルの単価プレミアムを吸収できることです。

これら4つの利点を普及エンジニアリングと組み合わせた銀行は、パスキーを有効にした顧客の複数年にわたる維持を確保します。ハードウェア製品を購入してそれで作業が終わったと考える銀行は、過去2年間に業界で報告されてきたのと同じ一桁のアクティベーション率で終わってしまいます。

8.2 ソフトウェアを構築するハードウェアベンダーはどうか？#

2番目のアーキタイプは、ソフトウェアレイヤーも構築するハードウェアベンダーです。いくつかのセキュリティキーおよびスマートカードメーカーがこの移行を開始していますが、彼らが出荷するソフトウェアの種類について正確に把握しておく必要があります。これらの製品のほとんどはIAM、フリート管理、またはアダプティブ認証プラットフォームであり、消費者の普及ギャップを埋めるために必要なファネルレベルのパスキーオブザーバビリティではありません。

• Yubicoは、セキュリティキーベンダーの中で最も完全なプラットフォームを構築しています。そのYubiKey as a Serviceサブスクリプションは、ユーザーごとのライセンス、フリートおよび出荷管理のためのカスタマーポータル、FIDO事前登録、登録アプリとSDK、そしてOkta、Microsoft Entra ID、Ping Identityと統合されたグローバル配信を組み合わせています。この製品は主にエンタープライズ向けの配信およびライフサイクル管理レイヤーであり、消費者の普及を分析するものではありません。
• Thalesは、SafeNet eTokenおよびスマートカードハードウェアを、SSOおよびアダプティブ認証を備えたクラウドIdentity-as-a-ServiceプラットフォームであるSafeNet Trusted Accessと組み合わせています。
• OneSpanは、銀行やフィンテックに焦点を当てたDIGIPASSハードウェアを、OneSpan Cloud Authenticationプラットフォームおよびインテリジェントアダプティブ認証とバンドルしています。
• HID Globalは、CrescendoスマートカードをHID Authentication ServiceおよびHID Approveモバイルオーセンティケーターとともに出荷しています。
• CompoSecureは、Arculus FIDO2スマートカードを、コンパニオンウォレットアプリと発行者向けの開発者SDKで拡張しています。

これまでのところ、これらのベンダーのほとんどは依然として収益の大部分をハードウェアから得ています。ソフトウェアスタックをデバイスの配信やIAMから実際のセレモニーレベルのパスキーオブザーバビリティへと拡張するベンダーは、エンドツーエンドで普及を推進できます。そうしないベンダーは、コンポーネントサプライヤーとしてエンタープライズの枠の中に閉じ込められたままになります。

8.3 OSプラットフォームはどうか？#

OSプラットフォームは特別なケースです。ハードウェアは存在します。Apple Secure Enclave、Android StrongBox、およびWindows 11のPlutonチップはすべて、彼らが販売するすべてのデバイスの内部に搭載されています。しかし、AppleとGoogleにおけるデフォルトのパスキーポリシーは同期であるため、消費者が箱から出してすぐに真のハードウェアバウンド・クレデンシャルを得ることはありません。iCloud KeychainとGoogle Password Managerはデバイス間で鍵をコピーするため、ユーザーから見える動作は同期型パスキーとまったく同じになります。MicrosoftのTPMバウンドのWindows Helloは、依然としてキーをローカルに保持する唯一の消費者向けセキュアエレメントですが、Edgeも同期へと移行しつつあります。また、別途ハードウェアを購入する必要がないため、Windows Helloをハードウェアバウンドの消費者市場の競争から除外しています。

理論的には、Apple、Google、Microsoftは、同期型と同じように洗練されたUXで、プラットフォームバウンドで同期しないパスキーを公開することで、カテゴリーを再定義できる可能性があります。しかし、彼らがそうする計画があるという公式の兆候はありません。同期がデフォルトであり続ける限り、OSプラットフォームは同期型パスキーの競合相手であってハードウェアバウンド・パスキーの競合相手ではありません。そして、専用のセキュリティキーとFIDO2スマートカードだけが、消費者にとっての唯一の現実的なハードウェアの道であり続けます。

8.4 実際の競争はどうなっているのか？#

実際の競争は「セキュリティキー対スマートカード」ではありません。本当の問いは、ハードウェアが重要な場所において、ソフトウェア、データ、そして普及エンジニアリングを組み合わせた消費者向け認証プラットフォームを誰が構築するのかということです。FIDO Alliance Authenticate 2024の基調講演に基づくと、今後3〜5年間で勝者となる可能性が高いのは以下の通りです。

• FIDO2スマートカードを消費者にとってデフォルトの体験にする、3〜5社の大規模銀行や決済ネットワーク。
• 単なるIAMやフリート管理ではなく、実際のセレモニーレベルの分析を備えた認証プラットフォームへの移行に成功した、1〜2社のハードウェアベンダー。
• より強力なアカウント保護と引き換えにユーザーの5〜10%が実際にハードウェアにお金を支払うことを証明できれば、Googleの高度な保護機能やOpenAIの高度なアカウントセキュリティのような価値の高いアカウントプログラム。

純粋なハードウェア企業のままの会社が、消費者市場の競争に勝つ可能性は低いです。彼らは結局、誰かのプラットフォーム内部のシリコンサプライヤーになります。それは健全なビジネスであり、エンタープライズにおける真の強みですが、消費者市場を支配するものではありません。

9. 銀行、発行者、製品チームは次に何をすべきか？#

FIDO AllianceのデプロイメントプレイブックおよびGartnerのIDガイダンスに基づくと、今後12ヶ月以内にハードウェアバウンド・パスキーを評価する製品チームにとって重要な行動は3つあります。ハードウェアが実際に勝てるユースケースを選択すること。すべてのハードウェア展開を普及エンジニアリングと組み合わせること。そして、初日からデータフィードバックループを構築することです。

1. 適切なユースケースを選択する: 価値の高いトランザクション確認、規制されたジャーニーでのステップアップ認証、リスクの高いセグメントのリカバリーなどです。一般的な消費者向けログインにハードウェアを無理に押し込まないでください。
2. ハードウェアと普及エンジニアリングを組み合わせる: 計装、ネイティブアプリのエラー処理、デバイスインテリジェントルーティング、そして同期型パスキーのベースラインに対する明示的な測定です。
3. データループを早期に構築する: ロールアウト後ではなく、最初のパイロットでファネルのテレメトリを出荷します。どのAndroidメーカー、どのiOSバージョン、どのブラウザの組み合わせがタップの成功を妨げているかを確認するチームは、数週間で反復改善できます。それを行わないチームは推測に頼るしかなく、サポートチケットを待たなければなりません。

ハードウェアベンダーにとって、メッセージはさらに明確です。会社がコンポーネントサプライヤーにとどまるのか、それともプラットフォームを構築するのかを決定してください。どちらも実行可能です。完全にコミットせずに両方をやろうとすると、プラットフォームへの投資が資金不足に陥り、シリコンのロードマップが散漫になります。

10. 結論#

ハードウェアバウンド・パスキーは依然として、NIST AAL3に達し、クラウドアカウントの侵害を生き延び、PSD2、PSD3などの規制の最も厳格な解釈を明確に満たす唯一の消費者向けクレデンシャルタイプです。技術は確実です。シリコンは強力です。標準は成熟しています。

技術だけではできないことは、消費者の普及を勝ち取ることです。AppleとGoogleはOSとブラウザのレイヤーを制御しています。銀行と発行者は消費者の流通を制御しています。ハードウェアベンダーはシリコンを制御しています。消費者市場での競争は、普及を推進し、すべてのセレモニーを測定し、ギャップを回避するソフトウェアプラットフォームを通じて、この3つすべてを組み合わせた企業が勝利します。

勝利の方程式は、ハードウェアにパスキーオブザーバビリティと継続的な普及エンジニアリングを加えたものです。これら3つすべてを出荷するベンダーまたは発行者が、次の10年間の消費者向けプレイブックを書くことになります。それ以外の企業はすべて、他社のプラットフォームにコンポーネントを販売するだけです。

Corbadoについて

Corbadoは、大規模なconsumer認証を運用するCIAMチームのためのPasskey Intelligence Platformです。IDPのログや一般的なanalyticsツールでは見えないものを可視化します。どのデバイス、OSバージョン、ブラウザ、credential managerがpasskeyに対応しているか、なぜ登録がログインにつながらないのか、WebAuthnフローのどこで失敗するか、OSやブラウザのアップデートがいつ静かにログインを壊すか — Okta、Auth0、Ping、Cognito、あるいは自社IDPを置き換えることなく、すべてを把握できます。2つのプロダクト：Corbado Observeは passkeyとその他あらゆるログイン方式のobservabilityを提供します。Corbado Connectは analytics内蔵のmanaged passkeyを追加します（既存のIDPと併用）。VicRoadsはCorbadoで500万人超のユーザーにpasskeyを提供しています（passkey有効化率+80%）。 Passkeyエキスパートに相談する →

よくある質問#

消費者にとってのハードウェアバウンド・パスキーと同期型パスキーの違いは何ですか？#

ハードウェアバウンド・パスキーは、セキュリティキー、FIDO2スマートカード、または内蔵TPMチップなどの物理的なセキュアエレメント内に秘密鍵を保持します。鍵がそのハードウェアから外に出ることは決してありません。同期型パスキーは、iCloud Keychain、Google Password Manager、またはサードパーティのマネージャーに存在し、クラウドを通じてデバイス間でコピーされます。ハードウェアバウンド・パスキーは秘密鍵をエクスポートできないため、NIST AAL3に達します。同期型パスキーはクラウドの同期経路によって鍵が復元可能になるため、AAL2が上限となります。この1段階の保証のギャップは、銀行、政府、ヘルスケアの規制機関にとって非常に重要です。

パスキーが普及しているにもかかわらず、ハードウェアセキュリティキーが消費者に広く普及していないのはなぜですか？#

StatCounterによると、AppleとGoogleは99%以上の消費者が使用するOSとブラウザを制御しています。両社ともWebAuthnプロンプトにおいて、自社の同期型クレデンシャルマネージャーを優先しています。AppleのAuthenticationServicesやAndroidのCredential Managerのドキュメントによれば、ハードウェアオーセンティケーターはどのデフォルトのフローでも1〜3回のクリックの奥にあります。AndroidでのNFCの動作はスマートフォンのメーカー間で断片化しており、Conditional UIはデフォルトで同期型クレデンシャルに設定されています。その上、ほとんどの消費者はサービスから強制されない限り、別のオーセンティケーターに40〜80米ドルを支払うことはありません。

消費者にとってハードウェアバウンド・パスキーを正当化できるユースケースは何ですか？#

消費者に十分な動機を与えるカテゴリーが3つあります。1つ目は銀行と決済で、PSD2、PSD3、インドのRBI、オーストラリアのAPRA CPS 234がすべて強力な顧客認証を義務付けています。2つ目は暗号資産とセルフカストディで、鍵の紛失が資金の喪失を意味し、LedgerとTrezorはすでに900万台以上のデバイスを出荷しています。3つ目は、メインのメール、政府のIDウォレット、クリエイターアカウントなどの価値の高いアカウントで、乗っ取りが取り返しのつかない事態になる場合です。Googleの高度な保護機能プログラムと、2026年4月に約68ドルでYubiKeyの2個パックと共同ブランドで提供されたChatGPT向けのOpenAIの高度なアカウントセキュリティは、どちらもこの層をターゲットにしています。これら3つのカテゴリー以外では、通常、同期型パスキーが勝ります。

FIDO2スマートカードは、消費者向けハードウェアパスキーの競争においてどのような位置づけですか？#

CompoSecure（10-Kの提出書類によると年間1億枚以上のメタル決済カードを出荷し、ArculusをFIDO2製品として提供している）やIDEMIAなどのスマートカードメーカーは、FIDO2クレデンシャルをホストできるセキュアエレメントを備えたNFCスマートカードを構築しています。消費者はすでにクレジットカードを持ち歩いているため、そのカードにハードウェアバウンド・パスキーを追加すれば、別のデバイスは不要になります。銀行、ネオバンク、暗号資産カストディアンは、認証、決済、ステップアップを1つのフォームファクターに統合できます。難しいのは、iOSやAndroidのブラウザ間でNFCタップを確実に機能させることと、カード1枚あたり2〜5米ドルのコストプレミアムを吸収するよう発行者を説得することです。

消費者向けハードウェアバウンド・パスキー市場で実際に勝者となるには何が必要ですか？#

優れたハードウェアは必要ですが、それだけでは不十分です。勝者は、信頼できるハードウェアのフォームファクターと、登録や認証のすべてのステップを測定し、壊れたデバイスとOSの組み合わせを回避し、不正行為やサポートコストが低下していることを発行者に証明するインテリジェンスプラットフォームを組み合わせます。ファネルレベルのパスキーオブザーバビリティがなければ、ベンダーや銀行は、FIDO Alliance Authenticate 2024のデプロイトークで記録されているパターンのように60%のユーザーがNFCタップを諦めていることや、W3C WebAuthn Level 3仕様にあるようにConditional UIがプロンプトを静かに飲み込んでしまったことに気づくことができません。競争は、どのキーが最も強力なチタンシェルを持っているかではなく、データとソフトウェアによって決まります。