現在、証券会社はパスキー認証を勧めている。
だが、パスキーのデバイス保存を勧める会社とクラウド保存を勧める会社がある。
自身が知る限り、大手証券会社は前者が多く、ネット証券は後者が多いように思う。
個人的には、デバイス保存が正解だと思っているｗ
案内を読んだりすると、パスキーの仕組みがわかっていない人が多いように思う。
自身もそうだったが、新しい技術で複雑なため、理解するには時間がかかる。
AI（人工知能）に、パスキーの仕組み（設定から認証までの手順）を作ってもらった。
誰かの参考になるかもしれないので書いてみるｗ
--------------------------------------------------------------
パスキーの設定からログインまでの全手順
【初回設定（登録）の手順】
①ユーザーが、利用したいWebサイトやアプリで「パスキーを設定する」ボタンを押します。
②ユーザーのデバイス（スマホやPC）が、そのサイト専用の「秘密鍵」と「公開鍵」のペア（暗号データ）を自動生成します。
③ユーザーのデバイスが、認証の安全性を担保するために、生成した「秘密鍵」を「画面ロック（指紋・顔・パスコード）」と紐付けます。
④ユーザーのデバイスが、自動生成したデータのうち「公開鍵」だけを、インターネット経由でサイトのサーバーへ送信します。
⑤ユーザーのデバイス（または同期クラウド）が、「秘密鍵」を自身の安全な領域に保存します。
⑥サイトのサーバーが、届いた「公開鍵」をユーザーのアカウント情報と紐付けて保存し、設定が完了します。
【2回目以降のログインの手順】
①ユーザーが、サイトのログイン画面で「パスキーでログイン」ボタンを押します。
②サイトのサーバーが、ログインを要求してきたデバイスに対して、「チャレンジ（使い捨てのお題データ）」を送信します。
③ユーザーのデバイスが、お題データを受け取り、画面に「指紋・顔またはパスコード」の入力を求める画面を表示します。
④ユーザーが、自身のデバイスに指紋を当てる、顔を向ける、またはパスコードを入力します。
⑤ユーザーのデバイスが、ユーザーの生体情報やパスコードが正しいかを端末の内部だけで照合します。（※サイト側には送信されません）
⑥ユーザーのデバイスが、認証成功と同時に「秘密鍵」のロックを解除します。
⑦ユーザーのデバイスが、解除された「秘密鍵」を使って、サイトから届いていたお題データに対して「電子署名（暗号の回答）」を作成します。
⑧ユーザーのデバイスが、作成した「電子署名」だけをサイトのサーバーへ送信します。
⑨サイトのサーバーが、届いた「電子署名」と、初回設定時に保存していた「公開鍵」をガチャンとかみ合わせて答え合わせをします。
⑩サイトのサーバーが、データが正しく一致したことを確認し、ログインを許可します。
--------------------------------------------------------------
ユーザーの操作は少ないが、デバイスやサーバーで自動で設定や認証が行われている。
そのため、生体情報やパスコードだけで、ログインできると勘違いするんだと思う。
・デバイスやサーバーで、どのような設定や認証が自動で行われているか。
このことを知っておくだけで、セキュリティレベルを高くすることができると思うｗ
前述のように、パスキーはデバイス保存が正解だと思っている。
パスキー認証では、指紋・顔またはパスコードが利用される。
当然ながら、指紋や顔のデータはクラウド保存（ネットに保存）しない。
したがって、パスコードもクラウド保存せずにデバイス保存すべきだと思うｗ
だが、デバイス保存した場合にもリスクが生じる。
クラウド保存、デバイス保存のそれぞれのリスクをAIに確認した。
それぞれの防衛力を最大化する方法についても確認した。
より深くパスキーを理解したい人のために書いてみるｗ
--------------------------------------------------------------
クラウド（Apple/Google）口座の乗っ取りリスク
クラウド保存型（同期型）の場合、もし大元のApple IDやGoogleアカウントがハッキングされると、クラウドにあるすべての証券・銀行口座のパスキーが一気に犯人の手元にコピーされます。「証券会社ごとに別々のパスワードをかけていた時代」よりも、一網打尽にされるリスクが高まるのです。
端末の故障・紛失による「締め出し」リスク
デバイス保存型（バックアップなし）の場合、スマホやPCが壊れたり紛失したりした瞬間にログイン不能になります。「相場が暴落しているのにログインできず売却できない」という致命的な機会損失のリスクを抱えます。
ロック解除「暗証番号」の盗み見リスク
スマホでパスキーを使う際、顔認証に失敗するとスマホ自体の画面ロック解除コード（数字のPINなど）を求められます。これを背後から盗み見され、その後にスマホを物理的に盗まれた場合、犯人に簡単に証券口座を突破されてしまいます。
私たちが取るべき3つの自己防衛策
私たちは降ってきたリスクに対して「自分で選んだスタイルに合わせて、それぞれの防衛力を最大化する」しかありません。
【パターンA】利便性を重視し「クラウド保存」にする場合
機種変更時の紛失リスクを避けたい方向けです。その代わり、大元のクラウドの防衛力を最大に高めます。
・クラウド口座（Apple/Google）のログイン自体をパスキー化する
・「2要素認証」を絶対に有効にする
【パターンB】安全性を重視し「デバイス保存（本体のみ）」にする場合
クラウドを信用せず、手元の物理的な安全性を究めたい方向けです。
・スマホのロック解除を「4桁・6桁の数字（PIN）」から「複雑な英数字のパスワード」に変える（盗み見防止）
・「盗難デバイスの保護（iPhoneの場合）」をオンにする
【パターンC】セキュリティリスクを断つため「電話取引」にする場合
ネットのセキュリティ対策に追われること自体がストレス、という方向けの究極の防御策です。あえてネット口座を解約し、昔ながらの「電話取引（コールセンター取引）」へ一本化します。
・ネット口座の解約・閉鎖手続きを行い、ネットからの侵入経路を物理的に遮断する
※ただし、ネット取引に比べて手数料が高くなるトレードオフは受け入れる必要があります
自分がどのリスク（クラウドの乗っ取りか、スマホの紛失か、ネット取引そのものか）を取るのかを明確にし、正しい防衛線を引くことだけが、私たちの貴重な資産を守る唯一の手段です。
まずはご自身が利用している証券会社のお知らせをチェックし、どのようなサポート体制になっているか確認することから始めてみてください。
