用語集
1. 認証の基礎知識（まずはここから）
MFA（多要素認証）
ID・パスワードだけでなく、指紋や物理キーなど「2つ以上の異なる要素」を組み合わせて本人確認を行う仕組みです。万が一パスワードが漏洩しても、もう一つの要素（物理キーなど）がなければログインできないため、不正アクセスのリスクを大きく下げられます。
2FA（二要素認証）
MFAの一種で、特に「2つの要素」を使うことを指します。例えば「パスワード（記憶）」と「スマホへの通知や物理キー（所持）」の組み合わせです。
SSO（シングルサインオン）
1度のログインで、Salesforce、Google Workspace、Slackなど、社内で利用している複数のサービスへ安全にアクセスできる仕組みです。ユーザーが複数のパスワードを管理する手間を減らし、管理者は一括でアクセス権限を制御できます。
HOTP / TOTP
どちらもワンタイムパスワードの生成方式です。HOTPはカウンタに基づき、TOTPは時刻に基づいてコードを生成します。認証アプリのコードや一部のハードウェアトークンで使われますが、フィッシングでそのまま盗まれ得る点はSMS認証と共通です。
2. 次世代の標準規格（上申資料の根拠に）
FIDO2（ファイドツー）
パスワードを使わずに、指紋認証や専用の物理キーを使って安全にログインするための世界標準規格です。Google、Microsoft、Appleも推進しており、フィッシング詐欺に強い認証方式として世界中で導入が進んでいます。
WebAuthn（ウェブオースン）
Webブラウザ（Chrome、Edge、Safariなど）でFIDO認証を利用するための技術的な仕様です。対応しているブラウザやサービスであれば、専用ソフトを入れなくても物理キーや生体認証を使えます。
パスワードレス認証
その名の通り、パスワードを一切使わない認証方法です。ユーザーの「パスワード忘れ」によるヘルプデスクへの問い合わせを減らし、同時にパスワード盗難のリスクをなくします。
AAGUID
Authenticator Attestation GUIDの略で、認証器の「型番」を一意に識別するIDです。同じ製品であれば同じAAGUIDを持ち、Microsoft Entra IDなどのサービスがFIDO2キーの種類を区別するために使います。各製品ページの掲載状況セクション（iShield Key 2・Idem Key・ATKey.Pro・VinCSS Fingerprint）で実際の値を確認できます。
アテステーション
認証器が製造時に埋め込む、機種を証明するための電子署名です。サービス提供者はこれを検証することで、なりすましの認証器ではなく正規のハードウェアが使われていることを確認できます。実際の掲載例は各製品ページの掲載状況セクションをご覧ください。
FIDO Alliance MDS（メタデータサービス）
FIDO認定を受けた認証器の情報（AAGUID・アテステーション証明書など）を集約した、FIDO Allianceが運営する公開データベースです。Microsoft Entra IDなどのサービスは、このデータを取り込んで対応キーの一覧を自動更新しています。
ディスカバラブルクレデンシャル（レジデントキー）
認証器の内部に、ユーザー名を入力しなくてもログインできる形で認証情報を保存する方式です。パスキーはこの方式が前提になっており、認証器を挿してPINや生体認証を行うだけでサインインできます。
ユーザー検証（UV）
PINや指紋など、認証器の所有者本人であることを確認する手順です。認証器を「持っている」ことに加えて「本人である」ことを確認することで、盗難・紛失時のなりすましを防ぎます。
キーに触れる操作（タッチ）はユーザー存在確認（UP）で、「利用者がその場にいること」の確認です。UVとは別の概念で、UPだけでは本人確認になりません。指紋センサーのないキーでもPINでUVを満たせるため、指紋の有無が認証の要素数を決めるわけではありません。どちらを求めるかはサービス側の設定によります。
CTAP / CTAP2.1
Client to Authenticator Protocolの略で、PCやスマホと認証器（セキュリティキーなど）が通信するための規格です。WebAuthnとあわせてFIDO2を構成し、2.1は暗証番号の複雑化やhmac-secretなどの拡張機能を追加したバージョンです。
hmac-secret / PRF 拡張
認証器から追加の秘密情報を取り出すためのCTAP2/WebAuthnの拡張機能です。ディスク暗号化ツールなど、ログイン以外の用途でFIDO2キーを鍵として使う場合に利用されます。
RP（依拠当事者）
Relying Partyの略で、FIDO2/WebAuthn認証を利用してユーザーを認証するサービス側（Webサイトやアプリ）を指します。認証器はRPごとに異なる鍵ペアを生成するため、あるサービスの認証情報が別のサービスで使い回されることはありません。
3. デバイス・技術（製品選びのヒント）
セキュリティキー（物理キー）
USBメモリのような形状をした、認証専用の小型デバイスです。PCのUSBポートに挿したり、ボタンをタッチしたりして使います。スマホを持ち込めない工場や店舗、コールセンターなどの環境でも、多要素認証を導入できる選択肢のひとつです。
バイオメトリクス（生体認証）
指紋、顔、虹彩など、個人の身体的な特徴を使って本人確認を行う技術です。「鍵を忘れる・なくす」心配がなく、偽造も極めて困難です。
NFC（近距離無線通信）
カードやスマホを「かざす」だけで通信する技術です。NFC対応のセキュリティキーをスマホにかざすことで、外出先からでも社内システムへログインできます。ログインの完了にはこのタッチ（UP）に加えて、サービスが求める場合はPINや指紋によるユーザー検証（UV）が必要です。
同期パスキー / デバイスバウンドパスキー
同期パスキーはiCloudキーチェーンやGoogleパスワードマネージャーなどを介して複数端末で使えるパスキーです。デバイスバウンド（デバイス固定型）パスキーは特定のハードウェアだけに保存され、他の端末にはコピーされません。デバイス固定型には、セキュリティキーに保存するものと、端末内に保存するもの（Microsoft Entra ID 向けの Microsoft Authenticator、Windows Hello for Business など）があります。Microsoft はアテステーションを強制する構成では同期パスキーを使えないとしています。
PIV
Personal Identity Verificationの略で、米国政府機関発の職員証・スマートカード規格です。対応するセキュリティキーでは、証明書ベースの認証やWindowsログオンなど、FIDO2以外の用途にも利用できます。
4. セキュリティリスク（「なぜ必要か」の理由）
フィッシング詐欺
本物そっくりの偽サイトに誘導し、IDやパスワードを盗み取る手口です。従来のパスワード認証は突破されますが、FIDO2対応の物理キーであれば偽サイトを自動で判別し、ログインをブロックします。
中間者攻撃（MitM）
ユーザーとサービスの通信の間に攻撃者が割り込み、情報を盗み見たり改ざんしたりすることです。FIDO2などの最新の認証規格は、認証時に通信先のドメインを検証する仕組みを持っており、この「割り込み」を技術的に防ぎます。
フィッシング耐性
偽サイトに入力しても認証が成立しない、という認証方式の性質です。FIDO2/WebAuthnはログイン時に正規のドメインを自動検証するため、ユーザーが気づかなくても偽サイトでの認証が失敗する設計になっています。
5. サービス連携・環境
Salesforce MFA要件
Salesforceが2022年2月1日から、すべてのユーザーに対して多要素認証（MFA）の利用を義務化しているルールのことです。未対応の場合、契約上の義務違反になるだけでなく、大切な顧客情報を守るための最低ラインとして対応が必須です。
Windows Hello for Business
Windows PCへのログインを、パスワードではなく指紋・顔認証、またはセキュリティキーで行う企業向けの仕組みです。組織全体のPCログインを安全に一括管理できるようになります。
認証強度（Authentication Strength）
Microsoft Entra IDの条件付きアクセスで使う設定項目で、どの認証方法をどの操作に要求するかを強度別に定義する仕組みです。フィッシング耐性の高い方法だけを許可する、といった制御に使われます。詳しくはMicrosoft Entra IDのパスキー移行ガイドをご覧ください。
一時アクセスパス（TAP）
Microsoft Entra IDが提供する、期限付きのワンタイムパスコードです。新しい認証方法（パスキーなど）を登録する際、パスワードの代わりに本人確認の手段として使われます。詳しくはMicrosoft Entra IDのパスキー移行ガイドをご覧ください。
登録キャンペーン
Microsoft Entra IDの機能で、管理者が指定した認証方法（パスキーなど）の登録をユーザーに促す仕組みです。サインイン時に登録画面を表示し、期限までの移行を後押しします。詳しくはMicrosoft Entra IDのパスキー移行ガイドをご覧ください。