概要
アイデンティティ（Identity / Digital Identity）は、デジタル世界でユーザや機器を一意に識別する仕組みを指す。1960 年代の Unix /etc/passwd から始まり、SSL 証明書（1994）/ OAuth（2007）/ FIDO2 / Passkey（2022）と進化、2026 年現在は Passkey によるパスワードレス認証が業界標準化、Web3 の DID（Decentralized Identifier）による自己主権型アイデンティティが Sui / Worldcoin / ENS 等で本格化している。EU eIDAS 2.0 / 米国 Verifiable Credentials も法整備が進み、政府 ID のデジタル化が次の波。
主要なアイデンティティシステム（2026 年）
古典的（パスワード + MFA）
| システム | 採用 |
|---|
| パスワード（MD5/SHA/bcrypt/Argon2） | Web 全般、衰退中 |
| TOTP（Google Authenticator） | 2FA 標準 |
| SMS OTP | 一部、SIM スワップ脆弱 |
| メール認証 | 補完用 |
| バイオメトリクス（Touch ID / Face ID） | スマホ標準 |
モダン（Passkey / FIDO2）
| システム | 提供 |
|---|
| Apple iCloud Keychain Passkey | iOS / macOS 標準 |
| Google Password Manager Passkey | Android / Chrome 統合 |
| 1Password Passkey | クロスプラットフォーム |
| Bitwarden Passkey | OSS / SaaS |
| Microsoft Entra ID（旧 Azure AD） | エンタープライズ |
| Yubico YubiKey 5C NFC | ハードウェアセキュリティキー |
エンタープライズ SSO
| システム | 提供 |
|---|
| Okta | $4-25/ユーザー/月 |
| Auth0（Okta 傘下） | 開発者向け |
| Microsoft Entra ID | Microsoft 365 統合 |
| Google Workspace SSO | Google エコシステム |
| Keycloak | OSS |
| Authentik | OSS、Keycloak 代替 |
| OneLogin | エンタープライズ |
Web3 / 分散型 ID（DID）
| システム | 採用 / 用途 |
|---|
| Sui zkLogin | Web2 アカウント → Web3、ゼロ知識証明 |
| Worldcoin（World ID） | 虹彩スキャンで人間性証明 |
| ENS（Ethereum Name Service） | .eth ドメイン = Web3 ID |
| Lens Protocol | SNS DID |
| BrightID | グラフベース DID |
| Polygon ID | エンタープライズ DID |
| W3C Verifiable Credentials | 業界標準仕様 |
政府 / 公的 ID
| 国 | システム |
|---|
| 日本 | マイナンバーカード + 公的個人認証 |
| EU | eIDAS 2.0 + Digital Identity Wallet |
| 韓国 | i-PIN |
| エストニア | e-Estonia（電子国家） |
| インド | Aadhaar（12 億人） |
| 米国 | Real ID + Login.gov |
Passkey の仕組み（2026 年標準）
1. ユーザがサイトに登録
2. デバイス内蔵の Secure Enclave で公開鍵 / 秘密鍵ペア生成
3. 公開鍵をサーバ送信（秘密鍵はデバイス内に保持）
4. 認証時: サーバからチャレンジ → 秘密鍵で署名 → サーバが公開鍵で検証
5. パスワード不要、生体認証 / PIN でローカルアンロック
利点:
- フィッシング耐性: ドメイン縛りで偽サイト不可
- データ漏洩耐性: サーバ漏洩しても秘密鍵は安全
- パスワード使い回し排除: そもそも存在しない
- クロスデバイス: iCloud / Google で同期
DID / Web3 ID の概念
Web2: 「Google が認可します」（中央集権）
Web3 DID: 「自分の秘密鍵が証明します」（自己主権）
zkLogin: 「Web2 認証 + ゼロ知識証明で Web3 アカウント連携」（橋渡し）
Verifiable Credentials（W3C 標準）
{
"@context": "https://www.w3.org/2018/credentials/v1",
"type": ["VerifiableCredential", "UniversityDegreeCredential"],
"issuer": "did:example:university",
"credentialSubject": {
"id": "did:example:user",
"degree": {"type": "BachelorDegree", "name": "Computer Science"}
},
"proof": {...}
}
主要規格 / プロトコル
| 規格 | 用途 |
|---|
| OAuth 2.0 / 2.1 | 認可フレームワーク |
| OpenID Connect | OAuth 上の認証 |
| SAML 2.0 | エンタープライズ SSO |
| WebAuthn / FIDO2 | Passkey 標準 |
| JWT（JSON Web Token） | ステートレス認証 |
| Verifiable Credentials | W3C 標準 |
| DID Core | W3C 標準 |
| eIDAS 2.0 | EU 公的 ID |
主な攻撃と対策
| 攻撃 | 対策 |
|---|
| パスワード総当たり | Argon2 + Rate Limit |
| フィッシング | Passkey（ドメイン縛り） |
| SIM スワップ | TOTP（SMS 不使用） |
| クレデンシャルスタッフィング | Have I Been Pwned 連動 |
| MITM | HSTS + Certificate Pinning |
| Replay 攻撃 | Nonce + タイムスタンプ |
個人 PC 自作 / 開発との接点
- 個人 SaaS の認証実装: Auth0 / Clerk / Supabase Auth が定番
- YubiKey + FIDO2: GitHub / GitLab / AWS の物理セキュリティキー
- 1Password / Bitwarden: 必須パスワードマネージャ + Passkey
- 個人 OSS の OIDC 連携: Keycloak をホームサーバで運用
関連用語との違い
| 用語 | 違い |
|---|
| 認証（Authentication） | 「誰か」検証、Identity の一機能 |
| 認可（Authorization） | 「何を許可」、認証の後段 |
| アカウント | 個別のユーザレコード、Identity はより広い |
| アバター | ビジュアル表現、Identity は識別子 |
よくある質問
Q1: Passkey は本当にパスワードを置き換える？
A: 大手 SaaS 普及進行中（Apple / Google / Microsoft / GitHub / Amazon 採用）。2027-2028 年には Web 主要サイトの過半数が Passkey 移行見込み。完全置換は 2030 年代。
Q2: DID / Web3 ID はメインストリーム化する？
A: 部分的に。Sui zkLogin の「Web2 アカウントで Web3 ログイン」が橋渡しとして実用化、エンタープライズの Verifiable Credentials も伸長。完全分散 DID は技術的成熟まで 5-10 年。
Q3: 個人開発で認証システムは自作 vs SaaS、どちらを選ぶ？
A: SaaS 一択（Clerk / Supabase Auth / Auth0）。月数百円で OAuth / Passkey / 2FA / セッション管理が完備、自作は脆弱性 + 工数で割に合わない。
まとめ
- デジタル世界での ユーザ識別 + 認証 の総合概念
- 2026 年は Passkey + DID + Verifiable Credentials が三大新潮流
- パスワード時代の終焉、自己主権型 ID の時代へ