セキュリティキーの選び方｜FIDO専用・多機能・極小・生体認証の4タイプで整理した
当記事はアフィリエイト広告を利用しています。詳細
パスキーが主要サービスに行き渡り、「パスワードを打たないログイン」自体は珍しくなくなった。一方で、パスキーをスマホやパスワードマネージャーの中に置くか、独立したハードウェアに置くかは別の判断になる。物理セキュリティキーは後者を選ぶための道具であり、鍵がデバイスの外へ出ないことを回路レベルで保証する点に価値がある。
ただし製品ページを開くと、同じメーカーの中だけでもシリーズが4系統あり、端子違いを含めれば10種類以上が並ぶ。ここでは Yubico の公式仕様をもとに、セキュリティキーを4タイプに分けて整理する。価格はいずれも Yubico 公式ストアの米ドル表記で、国内実売は取扱店によって上下する。
セキュリティキーとパスキーの関係
FIDO2/WebAuthn に対応したセキュリティキーは、パスキーの保存先の一種にあたる。スマホやパスワードマネージャーに保存されるパスキーが同期型（複数端末に複製される）なのに対し、セキュリティキーに保存されるパスキーはハードウェアに紐付いて外に出ない。Yubico はこれを「hardware bound passkey」と表記している。
判断材料になるのは次の3点である。
- 秘密鍵が複製されないため、クラウド側の侵害や端末乗っ取りの影響を受けにくい
- 同期されないため、鍵を挿していない端末ではログインできない
- 紛失＝アカウントロックに直結しうるため、2本目の登録がほぼ前提になる
3点目は選び方に直接効く。1本で完結する道具ではなく、2本セットで運用する道具として予算を組むことになる。
4タイプの比較
| タイプ | 代表シリーズ | 公式価格（USD） | 対応プロトコル | NFC |
|---|---|---|---|---|
| FIDO専用エントリー | Security Key Series | 29ドル〜 | FIDO2/WebAuthn・U2F のみ | あり |
| 多機能フラッグシップ | YubiKey 5 Series | 58ドル〜 | FIDO2・U2F・PIV・OpenPGP・OATH・Yubico OTP | モデルによる |
| 極小・挿しっぱなし | YubiKey 5 Nano / 5C Nano | 68ドル | YubiKey 5 Series と同等 | なし |
| 生体認証 | YubiKey Bio Series（FIDO Edition） | 98ドル〜 | FIDO2/WebAuthn・U2F のみ＋指紋 | なし |
耐久面は4タイプ共通で、ガラス繊維強化プラスチック筐体、IP68（防水防塵）、耐圧25N·m、電池なし・可動部なしという構成である。USB挿抜は10万回以上、書き換えは50万回以上、MTBFは100年以上と公表されている。キーホルダーに通して持ち歩く前提の耐久設計と読み取れる。
タイプ1：FIDO専用エントリー（Security Key Series）
Google アカウント、Microsoft アカウント、AWS IAM、1Password、Bitwarden といった主要サービスの二要素認証・パスワードレス認証は、FIDO2/WebAuthn と FIDO U2F の2プロトコルで足りる。Security Key Series はこの2つだけに絞ることで29ドルまで価格を下げたラインである。
現行ファームウェア5.8では、パスキー（FIDO2 discoverable credential）の保存枠が100と、上位の YubiKey 5 Series と同じ数値になっている。「安いほうはパスキーの保存数が少ない」という差は現行世代には存在しない。
一方で削られているのは以下である。
- スマートカード（PIV）、OpenPGP、Yubico OTP、OATH-TOTP/HOTP、チャレンジレスポンス、固定パスワードのすべてが非対応
- CCIDスマートカード・HIDキーボードとしては認識されず、FIDO HIDデバイスとしてのみ振る舞う
- 個体シリアライズなし（資産管理で個体識別したい用途には向かない）
- 暗号方式は FIDO2 用の ECC P-256 / P-384 と Ed25519 のみで、RSA は非搭載
Webサービスへのログインを堅くするだけなら、この時点で要件を満たす。2本目の予備キーをここから調達するという組み方も成立する。USB-C版とUSB-A版があり、どちらも29ドル、どちらもNFC対応である。
Yubico セキュリティキー C NFC（ブラック）FIDO2/WebAuthn・U2F対応 USB-C/NFC 多要素認証 2要素認証 IP68 防水防塵 耐衝撃
￥5,104
Amazonで見る →
Yubico FIDOセキュリティキー NFC（黒）FIDO2/U2F対応 USB-A/NFC 多要素認証 2要素認証 高耐久性 耐衝撃 防水防塵
￥5,104
Amazonで見る →
タイプ2：多機能フラッグシップ（YubiKey 5 Series）
YubiKey 5 Series は FIDO に加えて、スマートカード（PIV）、OpenPGP、Yubico OTP、OATH-TOTP/HOTP、チャレンジレスポンス、固定パスワードに対応する。58ドルからと倍近い価格になるが、Webログイン以外の用途を載せられる点が差になる。
公式仕様で公開されている収容数は、パスキー100枠、OATHスロット64、PIV証明書24、OTPシード2である。暗号方式は PIV / OpenPGP 用の RSA 1024〜4096 と ECC P-256 / P-384 に加え、Ed25519・X25519・secp256k1・brainpool 系まで含む。
代表的な YubiKey 5C NFC の物理仕様は 18 × 45 × 3.7 mm、4.1 g、USB-C と NFC（ISO 14443-3 Type A）の両対応で、消費電力は150mW未満。ファームウェアは5.8世代である。
シリーズ内の端子と価格の対応は次の通り。
| モデル | 端子 | NFC | 公式価格（USD） |
|---|---|---|---|
| YubiKey 5 NFC | USB-A | あり | 58ドル |
| YubiKey 5C NFC | USB-C | あり | 58ドル |
| YubiKey 5C | USB-C | なし | 65ドル |
| YubiKey 5 Nano | USB-A | なし | 68ドル |
| YubiKey 5C Nano | USB-C | なし | 68ドル |
| YubiKey 5Ci | USB-C + Lightning | なし | 85ドル |
NFC非搭載モデルのほうが高いのは、極小化やLightning搭載といった別方向のコストが乗っているためで、機能が上位という意味ではない。スマホでも使うなら、まず NFC 対応の 5 NFC / 5C NFC から見るのが素直である。
Yubico セキュリティキー YubiKey 5C NFC USB-C/FIDO2/WebAuthn/U2F/2段階認証/高耐久性/耐衝撃性/防水
￥9,700
Amazonで見る →Yubico セキュリティキー YubiKey 5 NFC ログイン/U2F/FIDO2/USB-A ポート/2段階認証/高耐久性/耐衝撃性/防水
￥8,530
Amazonで見る →
タイプ3：極小・挿しっぱなし（Nano系）
Nano はポートに挿したまま常用する前提の形状で、コネクタ部分を除くとポート面からほとんど飛び出さない。ノートPCの空きポートに1本入れっぱなしにして、タッチだけで認証を通す使い方に向く。
機能面は YubiKey 5 Series と同等で、削られているのは NFC と携行性である。ポート常時占有と引き換えに「持ち歩いて挿す」動作がなくなるため、据え置き機やドッキング環境の2本目として位置づけると噛み合う。ノートPC側のポート数がそもそも足りない場合は、USB-Cドック・ハブの選び方側で1ポート確保する構成も検討対象になる。
なお挿しっぱなし運用は、端末を物理的に持ち去られた場合に鍵も一緒に持ち去られることを意味する。持ち出す端末では NFC 付きの携行モデル、動かさない端末では Nano、という分け方が現実的である。
Yubico YubiKey 5C Nano USB-C 2要素認証セキュリティキー 超小型サイズ
￥9,980
Amazonで見る →
タイプ4：生体認証（YubiKey Bio Series）
YubiKey Bio Series は指紋センサーを搭載し、PINの代わりに指紋で本人確認を行う。指紋テンプレートはデバイス内のセキュアエレメントに保存され、外部に出ない構成が公式に明記されている。PINはフォールバックとして併用できる。
一般販売されているのは FIDO Edition で、対応プロトコルは FIDO2/WebAuthn と U2F のみ。PIV/スマートカードまで含む Multi-protocol Edition は YubiKey as a Service 経由の法人向け提供に限られる。つまり個人が買える Bio は「Security Key Series に指紋を足したもの」に近い位置づけで、98ドルからという価格はそのぶん指紋センサーに乗っている。
注意点として、Bio Series には NFC がない。Yubico 自身も、フォームファクタとプロトコル、NFC対応を求めるなら YubiKey 5 Series を検討するよう案内している。スマホのタップ認証を使いたい場合は選択肢から外れる。
Yubico YubiKey Bio C Fido Edition 指紋認証 - FIDOセキュリティキー 2要素認証キー FIDO U2F/FIDO2/USB-C/Type-C/指紋認証/生体認証/2段階認証/高耐久性/耐衝撃性/防水/IP68 キーホルダー型
￥17,818
Amazonで見る →
Yubico YubiKey Bio Fido Edition 指紋認証 - FIDOセキュリティキー 2要素認証キー FIDO U2F/FIDO2/USB-A ポート/指紋認証/生体認証/2段階認証/高耐久性/耐衝撃性/防水/IP68 キーホルダー型
￥18,492
Amazonで見る →
買う前に確認する3条件
1. 端子が本当に合っているか
USB-C の端末しか持っていないなら USB-C 版でよいが、USB-A のデスクトップや会社支給機が混ざる環境では、A版とC版を1本ずつという構成のほうが事故が少ない。変換アダプタを挟む運用は、抜き差し頻度の高い小物では破損リスクが上がる。
2. NFC が必要か
スマホのブラウザやアプリでログインする機会があるなら NFC 対応は実質必須である。iOS・Android のいずれもタップ認証に対応するが、キー側が NFC 非搭載だと物理的に成立しない。Nano と Bio は NFC 非搭載である点を先に確認しておく。
3. サービス側が「セキュリティキー」を受け付けるか
パスキー対応を謳っていても、登録方法が「この端末」「パスワードマネージャー」だけで、外部セキュリティキーの登録項目がないサービスは存在する。使いたいサービスの二要素認証設定画面で、セキュリティキーの登録項目があるかを先に確認しておくと空振りしない。
エンジニア視点で見るとどう使い分けるか
FIDO専用で足りるか多機能が要るかは、Web以外の用途があるかで切り分けられる。
- Webサービスの認証だけ：Security Key Series で要件を満たす。GitHub、Google Workspace、AWS IAM、パスワードマネージャーのロック解除はいずれも FIDO2/U2F の範囲
- SSH鍵やコード署名まで載せたい：OpenPGP と PIV が必要になるため YubiKey 5 Series。OpenSSH の
ed25519-sk系鍵は FIDO 側で扱えるが、GPG 署名や PIV 証明書を鍵の中に持つなら 5 Series が要る - TOTPをキー側に寄せたい：OATH-TOTP はスロット64で 5 Series のみ。認証アプリをスマホから切り離す構成にできる
- 業務端末と個人端末が混在：シリアライズされている 5 Series は個体識別ができるため、資産管理台帳と突き合わせやすい
長期運用の観点では、電池も可動部もない構造上、劣化要因はコネクタの物理摩耗にほぼ限られる。挿抜10万回・MTBF100年以上という公表値は、3年どころか買い替え理由が先に来ない水準である。ハードウェアに暗号処理を寄せるという発想は、USBメモリの選び方で触れたハードウェア暗号化タイプと同じ系譜にある。
気になる点
2本必要になるためコストが2倍になる
1本しか登録していない状態で紛失すると、リカバリーコードがなければアカウントへ入れなくなる。予備を含めると Security Key Series でも58ドル相当、5 Series なら116ドル相当が最低ラインになる。予備側を安いシリーズで揃えるという妥協は現実的な選択肢である。
サービスごとの対応差が大きい
国内サービスは FIDO2 対応が進んでいないケースがまだ多く、セキュリティキーを登録できる場所が限られる。「すべての認証をキーに寄せる」ところまでは行かず、重要度の高いアカウントから順に移す運用になる。
Bio は価格に対して機能が絞られている
98ドルからという価格は 5 Series より高いが、対応プロトコルは FIDO のみで NFC もない。指紋で解除できる利便性に価値を置く場合の選択であり、機能面での上位互換ではない点は把握しておきたい。
国内価格が公式ストア価格と乖離しやすい
輸入経路や為替の影響を受けるため、国内実売はドル建て公式価格の単純換算とは一致しないことが多い。購入時点の価格で判断する必要がある。
まとめ
4タイプの選び分けは次のように整理できる。
- Webログインを堅くしたいだけ：Security Key Series（29ドル〜）。パスキー保存枠は上位と同じ100
- SSH鍵・GPG・PIV・TOTPまで載せたい：YubiKey 5 Series（58ドル〜）。NFCが要るなら 5 NFC / 5C NFC
- 据え置き機に挿しっぱなし：Nano系（68ドル）。NFCなし、携行性なしと引き換えの常時接続
- 指紋で解除したい：YubiKey Bio Series FIDO Edition（98ドル〜）。FIDO専用でNFCなし
どのタイプを選ぶ場合も、2本目の登録を前提に予算を組むところから始まる。1本目を用途に合わせて選び、2本目は金庫や実家に置く前提で安いシリーズを充てる、という組み方であれば追加コストは29ドル程度に収まる。
編集者：ナナ
※ この記事にはアフィリエイトリンクが含まれています。リンク先での購入により、当サイトが報酬を受け取る場合があります。
