パスキー
パスキーは、「生体要素」と「所有要素(生成した秘密鍵)」を必要とする二要素認証である。これは、フィッシング詐欺対策においても耐性の高い仕様であるとされる。従来の「知識要素(パスワード)」と「所有要素(例えば自身が持つスマートフォンで受信したSMS情報など)」による二要素認証では、フィッシング詐欺を防ぐことが出来ない場合がある。これは被害者がフィッシングサイトを「本物」であると信じ切っている場合、パスワードに加えて、SMS等によって得たワンタイムパスワードも偽サイトへ入力してしまい、両要素情報が加害者側へ渡るケースが考えられる(いわゆる中間者攻撃のリスク)。しかしパスキーの認証資格情報(マルチデバイス対応FIDO認証資格情報)は正規サイトのURL情報も保有しており、偽サイトへ情報が渡ることは無い。
認証資格情報は端末内のみだけでなく、AppleのiCloudキーチェーン、Google Chromeのパスワードマネージャー等のクラウド環境で保管される。これによって、端末の紛失、破損、機種変更等においても新端末への平易な移行が可能となる。一方、秘密鍵を含む認証資格情報をクラウドに保管するため、漏洩等のセキュリティリスクは当該クラウド環境に依存することとなる。