クロスデバイス・サインイン
概要
トピック：コンシューマー、パスキー、WebAuthn、クロスデバイス、クロスプラットフォーム、クロスOS
カスタマージャーニー：認知 > 検討 > 登録 > 管理 > 認証
作成日：2024年5月24日
クロスデバイス・サインインを使用すると、パスキーを持つデバイス（モバイルデバイス）を利用して、パスキーを持たないもう1つのデバイス（ノートパソコン/デスクトップ）上でサインインできるようになります。
クロスデバイス・サインインの追加
- パスワードの手動入力、またはノートパソコン/デスクトップ上での追加認証手順の必要性を省く。
- パスワードフィールドを削除し、自動入力をサポートする。
- 再認証やパスキー再構成の必要なしに、デバイス間の切り替えを可能にする。
- デバイス間でパスキーの同期またはサインインに失敗した場合、その他のサインイン手段へスムーズにフォールバックする。
- 個人用認証デバイス（スマートフォン）と他者によるアクセス可能なデバイス（公共/共有ノートパソコン）の分離をサポート。
当団体のリサーチでは、さまざまなデバイス（モバイルデバイスとノートパソコン/デスクトップ）間でパスキーを使用し、「DigitalFiles」と呼ばれる仮想のファイル管理サービスにサインインする参加者のエクスペリエンスと満足度について調べました。iPhoneユーザーとAndroidユーザーの両方を対象に2回の反復ユーザーテストを実施し、参加者の懸念点や疑問を文書化して、最終的なデザインの推奨事項の策定に役立てています。
ユーザーテストから収集した多様なフィードバックと結果に基づくクロスデバイス・サインイン・エクスペリエンスの推奨事項には、以下のような柔軟性とオプションの提供が挙げられます。
- シームレスで利便性の高いサインイン手段を優先する： ユーザーの労力と操作を最小限にするため、QRコードのスキップなどの機能を意識します。
- サインインの代替オプションの提供： パスキーをベースにしたクロスデバイスフローに加えて、企業の安全方針と 業務ニーズに基づくフォールバックオプションをユーザーに提供します。例えば、Googleのサインインはパスキーをデフォルト設定しており、クロスデバイス・サインインを可能にしています。ただし、パスキーの使用に失敗した場合、Googleはパスキーを使用しない他の方法でサインインする機能を提供します。繰り返しになりますが、組織が提供するその他の方法は、企業の安全方針と業務ニーズに一致する必要があります。
- 利点とトレードオフを明確に伝える： クロスデバイス・サインインを開始するインターフェイスは、組織のウェブサイトではなく、ブラウザやオペレーティングシステムによって制御されます。そのため、ウェブサイトのオーナーは、ユーザーがクロスデバイス・サインインの使用を望んでいるか、または、使用しようとしているかを知ることはできません。ほとんどのシナリオではクロスデバイ・スサインインは使用されず、またクロスデバイス・サインインの解説は難しいため、サービスのサインインページではユーザーに説明しないことをお勧めします。代わりに、パスキー関連のその他のサポート資料とともに、クロスデバイス・サインイン向けヘルプリソースを作成します。興味を示すユーザーにはこのリソースを使用して、パスキーをベースにしたアプローチによるセキュリティ上の利点と潜在的な不便さを説明してください。これによりユーザーは、複数のデバイス全体を通じた好みと使用パターンに最も適したサインイン手段を選択できます。
クロスデバイス・サインインのエクスペリエンスでは、セキュリティ上の利点を強化し ながら利便性を優先する、柔軟な複数オプションのアプローチを提供することで、ユーザーの多様なニーズと好みに対応します。
結果
- 同じパスキーを使用して、異なるデバイス間でシームレスかつ一貫した認証を行うことで、全体的なユーザーエクスペリエンスを合理化する。
- デバイスごとに個別のパスキーを管理・維持する必要性を削減し、認証プロセスをより便利かつ安全なものにする。
- 利便性を向上し、パスワードを扱う煩わしさを軽減することで、複雑なパスワードやワンタイムパスワードを記憶して入力する必要性を省く。
- 複数の異なるデバイス間でパスキー本来のフィッシング耐性を活用する。
- 一貫性のある堅牢なセキュリティ体制を維持し、バックアップとリカバリーを向上させる。
- ユーザーはより便利で一貫性のある認証を主要手段として用いる傾向があるため、より広範囲なパスキーの導入と普及が促進される。
フロー：概略図 (QR)
フロー手順
- ユーザーがノートパソコンやデスクトップでサインインエクスペリエンスを開始する。
ユーザーがサービスプロバイダーのウェブサイトに移動し、サインインまたはアカウント作成のCTAを使用して、ウェブサイトベースのホームページ上でサインインエクスペリエンスを開始します。 - システムが「サインインまたはアカウントを作成」ページを表示し、ユーザー名が自動入力される。
ユーザーが［サインインまたはアカウントを作成］ボタンを選択すると、ユーザー名フィールドを確認するよう設定された「サインインまたはアカウントを作成」ページがシステムにより表示されます。自動入力を有効にしてユーザー名フィールドに焦点を合わせることで、ユーザーは非常に容易に、かつ最小限の選択操作でパスキーのサインインプロセスを続行できるようになります。自動入力が無効になっている場合、ユーザーはユーザー名を入力してサインインを選択する必要があります。システムはメールを認識し、パスキーでサインインするためのOSダイアログをトリガーします。 - OS/ブラウザに、「パスキーを使用してサインイン」ダイアログが表示される。
ユーザーが［サインインまたはアカウントを作成］ボタンを選択すると、OS/ブラウザに「パスキーを使用してサインイン」ダイアログが表示され、別のデバイスまたはセキュリティキーのどちらかでサインインする2つのオプションが提示されます。ユーザーは、提示された2つのオプションのうちいずれかを選択するか、［キャンセル］ボタンを選択してパスキーでサインインするプロセスをキャンセルできます。 - ユーザーがOS/ブラウザのダイアログから別のデバイスを利用してパスキーを使い、サインインする。
ユーザーが［別のデバイスを使用］ボタンを選択すると、OS/ブラウザのダイアログにQRコードが表示され、ユーザーはパスキーを持つデバイス（ユーザーのスマホなど）でスキャンできます。［キャンセル］ボタンを選択して、別のデバイスによるサインインをキャンセルした場合、OS/ブラウザはサインインプロセスを終了し、OSのオーバーレイを削除します。 - スキャンまたはQRコードを保存する
- ユーザーがQRコードをスキャンし、画面ロックを利用したパスキーを使用してサインインする。
ユーザーがパスキーを持つモバイルデバイスを使用して、QRコードをスキャンします。QRコードは、ネイティブカメラアプリ、QRコード用スキャナーアプリ、Googleアシスタント (Android) またはコントロールセンター (iOS) などの異なるアプローチやアプリを使用してスキャンできます。QRコードが正常にスキャンされると、デバイスのOSにパス キーを使用してサインインするオプションが表示されます。 - Android向け：サインインダイアログ、QRコードを保存する。
Androidの場合のみ、ユーザーが初めてクロスデバイス・サインインを使用する際に、QRコードをスキップするか、今後のアクセスのために保存するかを選択するよう求められます。その後、ダイアログを使用して、指定されたメールのパスキーを使用してサインインするか、サインインを拒否するか求められます。ユーザーがAndroidの [OK] ボタンかiOSの［確認］ボタンを押してパスキーでのサインインを選択した場合、モバイルOSがユーザーに画面ロックを使用して認証するよう要求します。 - サインインダイアログ「［生体認証タイプ］で続行」
ユーザーがAndroidoの［キャンセル］ボタン、またはiOSダイアログの右上隅にある [X] ボタンを押してパスキーでのサインインを拒否した場合、モバイルOSはサインインプロセスを終了し、OSオーバーレイを削除します。 - サインインダイアログ「完了」
パスキーでのサインインに成功すると、OSからパスキーによるサインインの確認メッセージが自動的に表示され、削除されます。ユーザーによるアクションは必要ありません。 - システムが正常にサインインしたことを確認する。
ユーザーはサインインしています。
フロー：概略図（デバイス検出）
フロー：動画
フロー：プロトタイプ (QR)
全画面表示にするには、プロト タイプの上にマウスを置き、展開アイコンを選択します。
フロー：プロトタイプ（デバイス検出）
全画面表示にするには、プロトタイプの上にマウスを置き、展開アイコンを選択します。
コンテンツ
このパターンには、サービスプロバイダーのウェブサイトで変更できるコンテンツはありません。
UXリサーチ
ユーザーリサーチでは、パスキーを使用して異なるデバイス間でアカウントにアクセスすることに対するさまざまな期待が明らかになりました。パスキーを利用してノートパソコンまたはデスクトップ上でサインインできるようになると期待を寄せる参加者がいる一方で、なかにはOS/ブラウザのダイアログでオプションが表示された際に、これがどのように機能するのかが分からないと言う参加者もいました（成功パス1および2の図3を参照）。
「現在使用しているコンピュータで指紋を使えるのか分からないので、これがどのように機能するのか興味があります。」
_— フェーズ2 - P1（27歳）、Android (Chrome) および Windows (Chrome) _
クロスデバイス・サインインに関する実際のエクスペリエンスについては、参加者からは多様な意見が聞かれました。参加者の半数はパスキーベースのアプローチ について、サインイン認証資格情報の物理的入力を回避できる、安全かつ簡易的手段であると見なし、評価しました。
「スマホとノートパソコンが実際に連動する点が気に入っています。実際にそれができることが嬉しいですし、何よりも手間がかからないのがいいですね。」
_— フェーズ3 - P1（33歳）、iPhone (Safari) および Windows (Edge) _
しかし、残りの半数の参加者にとっては、このプロセスは不便であるとみなされました。パスキーはより安全であると考えてはいたものの、スマホでQRコードをスキャンする必要があり、これにより全体的なエクスペリエンスが損なわれたためです。
リサーチの結果、参加者は、外部または公共デバイスを使用する場合のパスキーベースのサインインに対する分離性と透明性を重視していることが分かりました。この分離性は、公共/共有デバイスでサインイン認証資格情報を直接入力するのではなく、個人用デバイス（つまり、ユーザーのスマホ）がアクセス認証に使用されることを意味していると考えられます。
「外部や公共のデバイス上でアカウントにアクセスするには安全な方法だと思います。…（略）… すべての情報を暗号化してアカウントにアクセスするので、情報を直接入力する必要がありませんし、デバイス上に残るリスクも防げる、簡単な方法ではないでしょうか。」
_— フェーズ2 -P2（24歳）、Android (Chrome) および Windows (Chrome) _
その一方で、個人的に信頼できるノートパソコンやデスクトップからアカウントにアクセスする場合は、スマホの操作を必要としない、シーム レスかつ利便性の高いサインイン・エクスペリエンスを好むことが明らかになりました。
「パスキーはモバイルデバイスにとても適していると思います。ただし、実際にノートパソコンで使うとなると、正直便利かどうかは分かりません。それでも、まあ安全ではありますから、良いのではないでしょうか。利便性という点では疑問が残るということです。」
— フェーズ2 - P6（26歳）、iPhone (Safari) および Windows (Chrome) _
また、本リサーチにより、参加者は今後の使用を考慮したQRコードの保存機能、デバイスの自動認識などを重視していることが明らかになりました。これは、ユーザーがよりシームレスなデバイス統合と最小限の労力を望んでいることを示唆しています。
「QRコードを保存できるオプションが気に入っています。毎回同じことをする必要がなくなりますし、 簡単で、 良い機能だと思います。」
_— フェーズ2 - P8（45歳）、Android (Chrome) および Windows (Chrome) _
ユーザーの期待とエクスペリエンスの範囲が示しているのは、ユーザーベースの多様なニーズを満たすために必要なセキュリティ、利便性、および柔軟性のバランスです。サービスプロバイダーはユーザーの期待とエクスペリエンスの範囲を理解することで、ユーザーベースの多様なニーズを満たし、企業独自の安全方針や事業推進要因に一致するクロスデバイス・サインイン・ソリューションをデザインできるのです。
テスト事例
- iOS 16以降 (Safari)
- Android 12以降 (Chrome)
- Window 11 23H2（ChromeまたはEdge）
展開戦略
- 企業独自の安全目標と事業目標に一致するパスキーベースのクロスデバイス・サインイン機能の展開を漸進的かつ段階的に検討します。一部のユーザーまたは特定のデバイスタイプに限定したベース版から開始してフィードバックを回収し、実装を改良してください。導入状況、フィードバック、および更新や改善の必要性に基づいて、機能の利用可能範囲を段階的に拡大します。
- パスキーを使用したクロスデバイス・サインインの導入とその利点、使用方法についてユーザーに周知させるために、明確なコミュニケーションプランを策定します。
エコシステム
- パスキーには、ユーザーのデバイス上で特定のハードウェアまたはソフトウェアサポートが必要になる場合があります。ユーザーがパスキーの使用に必要な互換性要件を認識していることを確認し、互換性のあるデバイスとブラウザに関するガイダンスを提供してください。
- ネイティブのモバイルアプリでは、パスキーを使用したサインインと長年利用されてきた生体認証によるサインイン・エクスペリエンスは異なります。パスキーを使用したサインインでは、追加のタップが必要です。
- 組織は「allowCredentials」パラメータを設定することで、どの認証器にパスキーの登録や使用を許可するか決定できます。ブラウザが異なれば、「allowCredentials」パラメータの設定に応じて動作も異なります。
セキュリティ
DigitalBizでは問題が発生した場合、スムーズにメールのOTPに切り替えます。適切なフォールバックオプションを選択する際は、企業独自の安全目標と事業目標に一致する必要があります。独自の安全・業務ニーズに従って、UX計画を策定してください。本ガイドラインでは、同期パスキーを使用するFIDOに特有のUX概念に焦点を当て、 全体を通じて、さまざまな形式の身元確認とFIDO以外の認証例を記載しています。本ガイドラインは、身元確認やその他の非FIDO認証メカニズムに関するセキュリティガイドラインの規定を意図するものではありません。これらのセキュリティガイドラインは、各RPに合わせて独自の業務ニーズと安全方針を基に策定されるものだからです。
