---
title: Passkey の追加と回復
lede: 新しい Passkey を足す操作と、アカウントを取り戻す操作は、乗っ取りの入口になります。どこで止め、何を記録に残すかをまとめます。
shelf: operations
desk: security
edition: 1
source: NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（4.1.2.1、4.2） | https://pages.nist.gov/800-63-4/sp800-63b.html | 2026-10-10
source: CISA Cybersecurity Advisory AA23-320A Scattered Spider | https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a | 2026-10-10
source: W3C Web Authentication Level 3 | https://www.w3.org/TR/webauthn-3/ | 2026-10-10
---

## 起きること

Passkey は、偽のサイトでは使えません。だから攻撃は、Passkey そのものではなく、Passkey を増やす操作と、失ったときに取り戻す操作に向かいます。

- 盗まれたセッションから、攻撃者の端末の Passkey が足されます。それからは攻撃者も、正規の Passkey で署名できます。
- サポートの窓口に本人を装って電話をかけ、パスワードの再設定や認証手段の付け替えを頼みます[^2]。
- 携帯電話の番号を自分の SIM に移させ、SMS で届く確認を受け取ります[^2]。
- 回復のあと、それまでの連携や同意が、そのまま新しい端末に引き継がれます。

## 決めること

Passkey の追加と回復は、法令よりも、認証の指針が具体的に定めています。

| 操作 | 指針が求めること |
|---|---|
| Passkey を足す | 新しい認証手段を足す前に、そのアカウントでいま使える最も強い手段で認証させます[^1]。 |
| 回復する | 回復の手段は、保存した回復コード、発行した回復コード、回復の連絡先、身元確認のやり直しから選びます[^1]。 |
| 回復したあと | 回復したことを、必ず本人に知らせます[^1]。 |

そのうえで、自社のサービスで次を決めます。

- 窓口がパスワードや一時コードを発行する経路を、作らないか、作るなら誰が承認するか。
- 回復のあと、連携先への同意をもう一度求めるか。Clavis では、回復や Passkey の付け替えのあと、連携先へのサインインに同意をもう一度求めます。
- 同期される Passkey（複数の端末で使える Passkey）を受け入れるか。認証器は、バックアップの対象になりうるかどうかを知らせます[^3]。

## 残す記録

Passkey の追加は、すでにある Passkey の署名で確定します。署名の対象（ハッシュ）に、次を含めます。

- 足す Passkey の識別子
- 足す理由（端末の追加、買い替えなど）
- 依頼の番号

```json
"payload": {
  "purpose": "generic.sign",
  "message_digest": "<足す Passkey の識別子・理由・依頼番号の SHA-256>",
  "display_hint": "Passkey の追加"
}
```

回復は、すでにある Passkey が使えない場面なので、署名で確定できません。回復を使った時刻、使った手段、そのあとに足した Passkey、もう一度求めた同意を、記録として残します。

## 署名だけでは足りないこと

- 窓口の人がだまされることは、製品だけでは防げません。窓口の手順と、例外を誰が承認するかを決めておきます。
- 端末そのものを奪われ、画面のロックも解かれた場合は、正規の Passkey で署名できてしまいます。端末の管理は別の仕組みで行います。
- 回復の手段を一つも登録していない利用者は、端末を失うと戻れません。登録を求める場面を、自社で決めます。

## 次の一手

- [管理者権限の付与](/ja/notes/admin-grant)
- [署名の手順](https://docs.clavis.nexus/signature)：依頼の登録から結果の受け取りまで