自作の小さな金庫に、パスキー管理まで載せられるか。立ち位置を決める前に調べたこと

パスキーでログインするたびに、4 桁の PIN を打っています。毎回ほんの少しだけ面倒で、そこから、自作の金庫 kinko にパスキー管理まで載せられるかを調べました。結論は、載せることはできそうでも、PIN は消えない、です。

そもそも kinko は、何をするものか

kinko は、開発用の秘密を age で暗号化した保管庫にしまい、必要な 1 件だけをコマンドの環境変数に渡す、Go 製のコマンドラインの道具です。出発点は、AI CLI や検索コマンドが設定ファイルを丸ごと読んで、関係のない API キーまで画面や会話ログへ流れた事故でした。

だから、1Password のようなパスワード管理アプリの代わりを、最初から目指したものではありません。この記事の問いは、その狭い道具をどこまで広げられるか、です。紹介ページとリポジトリもあります。

USB メモリには、パスキーを焼けなかった

最初の質問は、使っていない USB メモリにパスキーを入れて、挿すだけで自動ログインできないか、でした。結論は、できません。USB メモリは置き場でしかなく、ログインのたびに秘密鍵で署名する計算をする部品がありません。その部品が入った専用の USB は、セキュリティキーという別の製品で、鍵は機器の外に出ない作りです。

しかも、パスキーのログインには触る、指紋を当てるといった操作が挟まります。「触るだけ」までは近づけても、「何もしない」にはなりません。

載せるなら何が要るか。そして、PIN は消えるのか

足すものを小さい順に並べると、ログイン情報の項目、ブラウザの自動入力、パスキー、複数端末の同期とスマホ、の 4 段です。パスキーは Windows 11 の登録の仕組みに合わせた、画面つきの別アプリが要ります。もう、ほぼ別の製品でした。

一番予想と違ったのはここです。Microsoft のサンプルでは、パスキーの作成も利用も、本人確認を Windows Hello に任せています。つまり、kinko 製のパスキー管理アプリを作っても、PIN を聞くのは Windows Hello のままです。資料とサンプルから読み取った範囲で、実際に動かして確かめたわけではありません。

しかも、パスキーの保管とブラウザの自動入力は、無料の Bitwarden と KeePassXC にもうありました。1Password が有料なのが kinko を作った動機のひとつでしたが、無料で足りるものは先にあったことになります。

PIN の本当の原因は、仮想マシンの中にあった

この開発機は Microsoft の仮想マシンで、リモート デスクトップ経由で入っています。仮想マシンの中の Windows には指紋リーダーも顔認証カメラもないので、本人確認が PIN になっている可能性が高い、と見ています。kinko のせいではなく、手元の環境でした。

手元の PC の機器を使う「WebAuthn リダイレクト」という道はあります。ただ、手元の PC にあるのは Web カメラと Bluetooth だけで、顔認証に使えるカメラではなさそうでした。試しても PIN を打つ場所が手元に移るだけなので、試していません。

「技術的にできないのか」と思いましたが、それは雑でした。仕組み上、無理と言い切れるもの（普通の USB メモリにパスキーを入れる、何も操作しない自動ログイン）、機器を足せば可能なもの（指紋でのログイン）、まだ試していないもの（指紋なしのセキュリティキーで「触るだけ」にする、Bitwarden で PIN なしにパスキーを通す）の 3 つに分けられます。

それでも kinko は広げるのか

まだ決めていません。広げるなら、最初の一歩はログイン情報の保存で、パスキーは一番最後でいい、というのが今の見立てです。パスキーを足しても PIN が消えないことと、無料の既存品がもうあることが理由です。次に何か足すなら、小さく。何が足りないのかを確かめてから考えます。

もっと深く読みたい人へ

パスキーとパスワードと mTLS の違い、各サービスの料金と出典の URL、Microsoft のサンプルの中身は、Qiita の全文にまとめています。