パスキーが1Passwordに保存される仕組みを60代の私が調べた

ハウル

みなさんこんにちは。ハウルブログです。今日も元気にお過ごしでしょうか。

人生100年と言われる時代です。還暦（60歳）を過ぎても、まだ残り40年あります。このブログが、還暦を過ぎたみなさまにとって何かのヒントになればと思い、書き続けています。

今日は「パスキーが1Passwordに保存される仕組み」について書いてみます。

先日、あるサイトでパスキーを設定しようとしたときのことです。

画面に「1Passwordに保存しますか？」と出てきました。

（ConoHa WINGのサイトで、パソコンのChromeから設定しました）

言われるままに「保存」を押して、あとで1Passwordを開いてみると、そのサイトの項目に、ちゃんとパスキーが入っています。

「えっ、1Passwordが勝手に入り込んできた？」

パスキーを頼んだのはサイトのほうなのに、なぜ1Passwordが顔を出すのか。

どうやって、そこに入り込んだのか。

気になったので、調べてみました。

結論から言うと、1Passwordが勝手に入り込んだわけではありません。

サイトが「パスキーを作ってください」と頼むと、スマホやブラウザが、その仕事を「保存先として登録されている1Password」に回している。

そういう仕組みでした。

しかも、1Passwordに任せてよいという許可は、私自身が、前に出していたのです。

前回の記事のおさらい：パスキーは「鍵」

パスキーについては、10月18日の記事で書きました。

→ パスキーとは？ パスワードとの違いを60代の私が南京錠で考えてみた

ひとことでおさらいすると、

• パスワードは、数字を合わせて開ける南京錠（合言葉）
• パスキーは、自分の家にしか合わない本物の鍵

でした。

今日の話は、その「鍵」が、どこで作られて、どこにしまわれるのか、というお話です。

パスキーが1Passwordに保存されるまでの4つのステップ

流れを順番に見てみます。

1. サイトが「パスキーを作ってください」とブラウザに頼む
   この頼み方は、世界共通の決まり（WebAuthn＝ウェブオースンという仕組み）になっています。どのサイトも、同じ言葉で頼んでくるわけです。
2. 頼みを受け取るのは、スマホやブラウザ
   スマホならiPhoneやAndroidそのものが、パソコンならブラウザ（Chromeなど）に入れた1Passwordの「拡張機能」が、この頼みを受け取ります。
3. 「パスキーの保存先」として登録されている1Passwordに、仕事が回される
   ここで、あの「1Passwordに保存しますか？」が表示されます。
4. 1Passwordが「秘密鍵」と「公開鍵」の組を作る
   秘密鍵は1Passwordの中にしまわれ、公開鍵だけがサイトに送られます。

つまり、1Passwordが外から入り込んだのではなく、サイトの頼みが、順番に1Passwordまで回ってきたのです。

鍵屋さんにたとえると、こうなります

南京錠のたとえを、もう少し広げてみます。

大家さん（サイト）が「この人用の鍵を作って」と、不動産屋さん（ブラウザやスマホ）に頼みます。

不動産屋さんは、「この人の鍵は、いつものあの鍵屋さんに頼むことになっている」と知っているので、仕事を鍵屋さん（1Password）に回します。

鍵屋さんは、鍵と鍵穴をセットで作り、鍵穴だけを大家さんに渡します。

鍵そのものは、鍵屋さんの金庫（1Password）にしまっておきます。

大家さんの手元にあるのは鍵穴だけ。

たとえ大家さんの家に泥棒が入って鍵穴を盗んでも、鍵穴からは鍵を作れません。

ここが、パスワードと大きく違うところです。

なぜ1Passwordが選ばれるのか？ 許可は自分で出していた

では、不動産屋さん（ブラウザやスマホ）は、どうして「1Passwordに回せばいい」と知っていたのでしょうか。

答えは、私が自分で、1Passwordを「任せてよい相手」として登録していたからです。

不動産屋さんに「鍵は、この鍵屋さんでお願いします」と、前もって伝えてあったようなものです。

• iPhone：「設定」→「一般」→「自動入力とパスワード」（少し前のiOSでは「設定」→「パスワード」→「パスワードオプション」）で、1Passwordをオンにしている
• Android：「設定」の「パスワードとアカウント」（機種によって名前が少し違います）で、1Passwordを選んでいる
• パソコン：ブラウザに1Passwordの拡張機能を入れている

1Passwordを使い始めたとき、「パスワードを自動で入力できるようにしましょう」と案内されて、この設定をした覚えがあります。

それが、「パスキーも1Passwordに任せてよい」という許可になっていたのです。

すっかり忘れていました。

「勝手に入られた」と思っていたのは、自分で出した許可を、私が忘れていただけでした。

ちなみに、パスキーの保存先は1Passwordだけではありません。

iPhoneなら「iCloudキーチェーン（パスワードアプリ）」、AndroidやChromeなら「Googleパスワードマネージャー」も、保存先になれます。

保存するときの画面で「別の方法で保存」などを選べば、ほかの保存先にすることもできます。

パスキーでログインするときは、何が起きている？

保存したパスキーで、次にログインするときの流れも見ておきます。

1. サイトが「本人なら、この問題に答えてください」と、毎回ちがう問題を出す
2. 1Passwordが、しまってある秘密鍵を使って答え（本人の証明）を作る
3. サイトは、手元の公開鍵で、その答えが正しいかどうかを確かめる

ここで大事なのは、秘密鍵そのものは、1Passwordの外に一度も出ないことです。

外に出るのは、その回だけ使える「答え」だけ。

たとえるなら、鍵を相手に渡すのではなく、目の前で鍵を回して、開いたところを見せるだけです。

しかも、パスキーは作ったときのサイトにしか合わないようになっています。

本物そっくりの偽サイトに連れて行かれても、鍵が合わないので、ログインが動きません。

フィッシング詐欺に強いと言われるのは、このためです。

安全面のポイント：サイトから漏れても大丈夫？

調べてみて、安心したことが3つあります。

• サイトには公開鍵（鍵穴）しか渡らない
  サイトから情報が漏れても、それだけではログインできません。最近は企業の個人情報流出が多いので、ここは心強いところです。
• 秘密鍵は1Passwordの金庫の中
  1Passwordを開くための、自分の指紋・顔・パスワードがなければ、使えません。
• 同じアカウントなら、別の端末からも使える
  1Passwordの中にあるので、パソコンで作ったパスキーを、スマホからも使えます。

逆に言うと、1Password（金庫）そのものの守りが大事ということです。

1Passwordを開くためのパスワードは長く、ほかでは使い回さないようにしておきます。

パスキーのありかが分からなくなった、あの日の私へ

前回の記事で、ConoHa WING（レンタルサーバー）のパスキーのありかが分からなくなり、電話で解除してもらった話を書きました。

今回わかったのは、パスキーは、そのとき「保存先」として選ばれた場所に入るということです。

1PasswordかもしれないしiPhoneのパスワードアプリかもしれない。

あのときは、それすら意識していませんでした（ちょっと飲んでいたせいも、たぶんあります）。

1Passwordのユーザー名とパスワードの間にパスキー欄ができていて驚きました。

1Passwordを開いてみると、パスキーの欄には「Oct 19, 2026に作成」とあるだけ。

鍵らしきものは、どこにも見当たりません。

調べてみると、秘密鍵はわざと見せない作りになっているそうです。

本人にも見せないから、だまし取られることもない。

なるほど、と思いました。

これからは、パスキーを設定したら、

「どこに保存したか」を、1Passwordを開いて確かめる。

それだけで、あの日のような迷子は防げそうです。

なお、身の回りの「守り」については、PHPの脆弱性とは？ WordPressとWi-Fiを60代の私が見直したにも書きました。

まとめ

今日は「パスキーが1Passwordに保存される仕組み」を調べてみました。

• 1Passwordが勝手に入り込んだのではない。サイトの頼みが、ブラウザやスマホを通って、1Passwordに回ってくる
• 1Passwordに回るのは、自分で「任せてよい」と登録していたから（iPhoneの自動入力の設定、パソコンの拡張機能）
• 1Passwordは秘密鍵（鍵）と公開鍵（鍵穴）を作り、サイトには鍵穴だけを渡す
• ログインのときも、秘密鍵は外に出ない。偽サイトでは鍵が合わない
• 大事なのは、1Password（金庫）そのものをしっかり守ることと、どこに保存したかを確かめること

「勝手に入られた！」と思ったことも、調べてみれば、自分で開けておいた扉でした。

分からないことを、そのままにしない。

人生100年、まだまだ知らないことだらけです。

次に「保存しますか？」と聞かれたときは、「はい、知っていますよ」と、少し得意げに押してみようと思います。

ハウル

自由を目指すアラカン

「人生100年時代」をともに生きるあなたへ。
何かヒントになればと思い2022年11月にブログをスタートしました。
旅（神社仏閣巡り）・還暦野球・ゴルフやってます。