セキュリティキーおすすめ8選 端子・NFC・対応プロトコルで比較
GitHubやGoogleのアカウントを、認証アプリの6桁コードからパスキーに移すときに候補へ上がるのが物理のセキュリティキーです。売り場に並ぶのはどれも似た形の小さな棒で、値段だけが5千円台から1万8千円台まで開きます。同じメーカーの同じような棒が3倍の値幅で並んでいるので、高いほうが上位版だろうと読むのが自然です。
ところが、この棒は値段の順に強くなりません。この記事でいちばん高い参考価格1万8千円台のYubiKey Bio - FIDO Editionは、対応プロトコルがFIDO2とU2Fの2つだけです。参考価格8,811円のYubiKey 5 NFCのほうがOATH-TOTPもPIVもOpenPGPも扱えます。Yubico自身が製品ページで、OATHやPIVを使うならYubiKey 5 Seriesを見るよう案内しています。
端子とNFCの有無も、値段とは別のところで決まります。参考価格10,494円のYubiKey 5C NanoはNFCに対応せず、5,104円のSecurity Key C NFCは対応します。ここでは8台を参考価格の順に並べ、端子・NFC・対応プロトコル・生体認証・形状の5つで比べます。
目次（8項目）
まず自分のPCとスマホの端子を確かめる
セキュリティキーで最初に決まってしまうのは、鍵の性能ではなく手元の機械の側です。USB-Aの鍵はUSB-Cしか無いノートPCに挿さらず、NFC非対応の鍵はスマホにかざしても反応しません。ここが合っていないと、対応プロトコルがどれだけ広くても使う場面がありません。
いま出ているMacBookはUSB-Cだけで、Windowsのノートも薄い機種はUSB-Cに寄っています。一方で据え置きのデスクトップやドックにはUSB-Aが残っているので、家と外で挿す口が違う人もいます。USB-Aのキーを選ぶと、USB-CしかないMacBookでは変換アダプタかハブが要ります。USB-Cドックの比較で扱ったとおり、ドックのUSB-Aポートは何本あるかも製品によって違うので、鍵のために1本占有できるかを先に数えることになります。
スマホ側はNFCで決まります。iPhoneはNFCでの認証に対応していて、鍵を背面にかざすと認証が通ります。Androidも多くの機種がNFCを積んでいますが、持っていない機種ではUSB-Cに直接挿すことになります。NFC非対応の鍵をスマホで使うには、その端末のUSB端子に合わせて挿し直すしかありません。
もう1つ、鍵は2本用意するのが前提だと考えたほうが安全です。ほとんどのサービスは複数のキーを登録できるので、1本を持ち歩き、もう1本を家に置いておけます。1本しか登録していない状態で紛失すると、自分のアカウントから締め出されます。この記事でいちばん安い5千円台の2本は、この2本目の用途と噛み合います。
セキュリティキーは対応プロトコルで3系統に分かれます
製品ページに並ぶFIDO2・U2F・OATH・PIV・OpenPGPという言葉は、実際には3つの段に整理できます。上の段は下の段を含むので、この記事の8台はどれかの段に当てはまります。
- FIDO2・U2Fのみ：WebAuthnでのログインとパスキーの保存だけを行う段です。GitHub・Google・Microsoft・AWSのログインはここで足ります
- ＋OTP・OATH-TOTP：認証アプリが出す6桁のコードを鍵の側に持たせられる段です。ワンタイムパスワードの種を鍵に入れて、スマホを機種変更しても持ち越せます
- ＋PIV・OpenPGP：スマートカードとして振る舞う段です。GPGの署名鍵を載せてコミットに署名したり、証明書でOSにログインしたりできます
ここで言うOTPには2つの流儀があります。Yubico OTPはYubico独自の方式で、他社のキーは持ちません。FEITIANとThetisが扱えるのはOATHのHOTPとTOTPだけです。認証アプリの代わりに使いたいだけならOATH側で足りるので、この2社のキーでも用は足ります。
3つの段は値段の順に上がりません。参考価格5,104円のSecurity Key NFCとC NFCは最初の段、7,478円のFEITIAN ePass K9と9,188円のThetis BioFPは2段目、8,811円のYubiKey 5 NFCから上のYubiKey 5シリーズが3段目です。そして1万8千円台のYubiKey Bio - FIDO Editionだけが、いちばん高いのに最初の段へ戻ります。
このBioについては書き方に気を付ける必要があります。YubiKey Bioには、PIVに対応するMulti-protocol Editionという別の製品があります。この記事で採り上げるのはFIDO Editionのほうで、Yubicoの製品ページがPIV・OpenPGP・OATH-HOTP・OATH-TOTP・Yubico OTPをすべて非対応と明記しているのはこの版です。「Bioは全部FIDO2とU2Fだけ」とまとめると誤りになります。
8台の端子・NFC・対応プロトコルを並べ直す
各社の公式製品ページに載っている値だけを並べました。生体認証と形状も、あとの採点で使うので同じ表に入れてあります。
| 製品名 | 端子 | NFC | 対応プロトコル | 生体認証 | 形状 |
|---|---|---|---|---|---|
| Yubico Security Key NFC | USB-A | 対応 | FIDO2・U2Fのみ | 無し | 標準 |
| Yubico Security Key C NFC | USB-C | 対応 | FIDO2・U2Fのみ | 無し | 標準 |
| FEITIAN ePass FIDO-NFC K9 | USB-A | 対応 | ＋OTP・OATH-TOTP | 無し | 標準 |
| Yubico YubiKey 5 NFC | USB-A | 対応 | ＋PIV・OpenPGP | 無し | 標準 |
| Thetis FIDO2 BioFP | USB-A | 非対応 | ＋OTP・OATH-TOTP | 指紋 | 標準 |
| Yubico YubiKey 5C NFC | USB-C | 対応 | ＋PIV・OpenPGP | 無し | 標準 |
| Yubico YubiKey 5C Nano | USB-C | 非対応 | ＋PIV・OpenPGP | 無し | Nano |
| Yubico YubiKey Bio - FIDO Edition | USB-A | 非対応 | FIDO2・U2Fのみ | 指紋 | 標準 |
並べると、値段と列の中身が対応していないことが見えます。参考価格5,104円のSecurity Key C NFCはUSB-CとNFCの両方を持ち、その倍近い9,702円のYubiKey 5C NFCと端子まわりの条件は同じです。差は対応プロトコルの段だけです。逆に10,494円の5C NanoはNFCを落としていて、スマホで使うには挿し直しになります。
見分けにくさもあります。Security Key C NFCとYubiKey 5C NFCは、Amazonのカタログ側が同じ主画像を割り当てているうえ、実物も並べただけでは区別が付きません。見た目がほぼ同じで中身の段が違うので、商品名に「YubiKey 5」が入っているかどうかで見分けることになります。参考価格でおよそ2倍の開きがあるので、値段も手がかりになります。
使い道から引き当てる
何に使うかで、表のどの列を見るかが変わります。
| やりたいこと | 効いてくる列 | この記事の該当機 |
|---|---|---|
| スマホでもかざして認証したい | NFC | Security Key NFC ／ Security Key C NFC ／ ePass K9 ／ YubiKey 5 NFC ／ 5C NFC |
| USB-CだけのノートPCで使う | 端子 | Security Key C NFC ／ 5C NFC ／ 5C Nano |
| 認証アプリの6桁コードを鍵に移す | 対応プロトコル | ePass K9 ／ Thetis BioFP ／ YubiKey 5シリーズ3台 |
| GPGでコミットに署名する | 対応プロトコル | YubiKey 5 NFC ／ 5C NFC ／ 5C Nano |
| PINを打たずに指で済ませたい | 生体認証 | Thetis BioFP ／ YubiKey Bio - FIDO Edition |
| ノートPCに挿しっぱなしにする | 形状 | 5C Nano |
| 紛失に備えて2本そろえる | 参考価格 | Security Key NFC ／ Security Key C NFC |
1行目と6行目のように、条件が同時に立つと選べる機種が消えることがあります。NFCで使いたくて、なおかつ挿しっぱなしにしたい場合は、この8台に該当機がありません。5C NanoはNFCを持たないためです。
おすすめのセキュリティキー8選
5千円台：USB-AとNFCの両方があるFIDO2専用機
独自採点の規則（5項目・各5点）
楽天のレビューは商品によって件数が1件から数百件までばらつき、件数の少ないものは1人の評価で平均が1点以上動きます。楽天側でレビューが消えると数字も黙って変わるので、順位付けには使っていません。代わりに、下の規則でスペックから機械的に点を出しています。記事に載せている表の値をそのまま当てはめているだけなので、読者が検算できます。総合点は5項目の単純平均です。用途によって効く項目が違うので、総合点だけでなく項目ごとの差を見てください。
- 導入しやすさ
- 参考価格。6千円未満＝5 ／ 8千円未満＝4 ／ 1万円未満＝3 ／ 1万2千円未満＝2 ／ それ以上＝1。紛失に備えて2本そろえるなら、この金額が2倍かかります
- 対応プロトコルの幅
- 比較表の対応プロトコル。FIDO2・U2Fのみ＝2 ／ ＋OTP・OATH-TOTP＝4 ／ ＋PIV・OpenPGP＝5。パスキーだけが目的なら最初の段で足りるので、この点が低くても不足にはなりません
- つなげるPCの広さ
- 比較表の端子。USB-C＝5 ／ USB-A＝3。USB-CはいまのノートPCに直挿しでき、USB-Aは機種によって変換が要るぶんを引いています
- スマホでも使えるか
- 比較表のNFC。対応＝5 ／ 非対応＝2。非対応でもスマホのUSB端子に挿せば使えることがあるので、0点にはしていません
- 挿しっぱなしにしやすいか
- 比較表の形状。Nano＝5 ／ 標準＝3。Nanoは挿したまま持ち運べる一方で、抜き挿しして複数のPCで使い回したり持ち歩いたりするなら標準形状のほうが扱いやすく、この点の高さがそのまま良さにはなりません
参考価格・端子・NFC・対応プロトコル・形状は、記事の比較表と商品カードに載せている値をそのまま使っています。生体認証の有無は採点に入れていません。指紋が要るかどうかは好みで決まる項目で、点にすると指紋モデルだけが理由なく上に来てしまうためです。指紋の扱いは比較表と本文で書いています。SSH鍵の形式（ed25519-sk を作れるか）も、8台のうち1台だけメーカーの記述が総称にとどまり同じ土俵で揃わないので、採点には使わず本文の表に回しています。この8台は楽天に出品が無いか転売の出品しか無く、参考価格はすべてAmazonから取得したものです。そのため楽天レビューの平均はこの記事のどのカードにも出ていません。
USB-Aのポートが残っているデスクトップやドック中心の環境で、パスキーの保存だけを目的にするならここから始められます。PINと物理タッチで本人確認する構成です。
5千円台：中身は同じでUSB-C。MacBookに直挿しできる
1つ前のSecurity Key NFCと対応プロトコルもパスキーの保存数も同じで、端子だけがUSB-Cになっています。USB-Cしか無いノートPCならこちらの端子が合います。
7千円台：ワンタイムパスワードの器も兼ねるUSB-A
FIDO2とU2Fに加えて、OATHのHOTPとTOTPを扱えます。Yubico OTPはYubico独自の方式なのでこのキーにはありませんが、認証アプリの置き換えとして使うぶんにはOATH側で足ります。
8千円台：PIVとOpenPGPまで載るUSB-A
対応プロトコルがいちばん広い段のUSB-Aモデルです。GPGの署名鍵を載せたり、PIVの証明書でログインしたりできます。同じUSB-A＋NFCで3千円ほど安いSecurity Key NFCとの差は、この対応プロトコルの段だけです。
9千円台前半：指紋センサー付きで、NFCは持たない
指紋で本人確認できる鍵としては安い部類で、YubiKey Bio - FIDO Editionのおよそ半額です。指紋モデルなのにOATHのHOTPとTOTPまで扱えます。NFCが無いので、使う場面はPCに寄ります。
9千円台後半：USB-CとNFCで対応プロトコルも全部入り
端子・NFC・対応プロトコルのどれを見ても不足が無い構成で、この8台でいちばん潰しが利きます。そのぶん、同じ端子のSecurity Key C NFCのほぼ2倍の参考価格になります。
1万円台前半：USB-Cに挿しっぱなしにできるNano形状
12×10.1×7mm・1gで、挿したままノートPCを鞄に入れられます。対応プロトコルは5シリーズのままですが、NFCを持たないのでスマホでは挿し直しになります。
1万8千円台：指紋で開くが、対応プロトコルはFIDO2とU2Fだけ
この8台でいちばん高いモデルです。指紋の情報はキー内部に保存されPCやサービス側には出ませんが、OATH-TOTPもPIVもOpenPGPも使えません。指紋が要るかどうかだけで選ぶ製品になります。
SSH鍵をキーに載せられるのはどれか
セキュリティキーの使い道でVimを使う人に効くのは、SSHの秘密鍵をディスクではなく鍵の中に置く形です。OpenSSH 8.2からFIDO2のキーを使った鍵形式が入り、次の1行で作れます。
# FIDO2のセキュリティキーに紐づいたSSH鍵を作る
ssh-keygen -t ed25519-sk -C "vps"こうして作った秘密鍵のファイルは、それ単体では使えません。鍵の実体はセキュリティキーの中にあり、接続のたびに物理タッチが要ります。ノートPCを盗まれても、鍵が挿さっていなければ相手のサーバーには入れません。VPSにSSHでつないでVimを使う構成のように接続先が固定されている使い方では、この形が噛み合います。
ただし、8台すべてがed25519-skを作れるわけではありません。公式の記述を1台ずつ当たると次のようになります。
| 製品名 | ed25519-sk | 根拠にした記述 |
|---|---|---|
| Yubico Security Key NFC | 作れる | Yubicoの開発者向け文書がファームウェア5.2.3以降で対応と記載 |
| Yubico Security Key C NFC | 作れる | 同上 |
| FEITIAN ePass FIDO-NFC K9 | 作れない | メーカー公式が ecdsa-sk のみ対応と明記 |
| Yubico YubiKey 5 NFC | 作れる | ファームウェア5.2.3以降で対応 |
| Thetis FIDO2 BioFP | 案内はある | メーカーの手順書が ed25519-sk の作り方を掲載（総称での案内） |
| Yubico YubiKey 5C NFC | 作れる | ファームウェア5.2.3以降で対応 |
| Yubico YubiKey 5C Nano | 作れる | ファームウェア5.2.3以降で対応 |
| Yubico YubiKey Bio - FIDO Edition | 作れる | YubiKey Bio Series Specifics がBioのファームウェアを5.5・5.6・5.7以降と記載。5.2.3の条件を満たす |
この表で外れるのがFEITIAN ePass K9です。メーカー自身がSSHの解説ページで、自社のキーはecdsa-skのみに対応すると書いています。この1台だけは、コマンドの-tをecdsa-skに変えないと鍵が作れません。7千円台でOATHまで扱えるという長所はそのままですが、SSHの鍵を載せる用途だけは別の条件になります。
Thetis BioFPについては、断定を避けています。メーカーの手順書はed25519-skの作り方を載せていますが、宛先が「Thetis FIDO2 Security Keys」という総称で、BioFPを名指ししていません。同社は複数のモデルを出しているので、この記述だけでBioFPが対応すると読むのは行き過ぎです。
もう1つ、自宅サーバーを外から触れるようにするなら、鍵は物理に置くほうが理屈が通ります。自宅サーバー向けミニPCの比較で扱ったような機械を24時間動かして外部から入れるようにすると、そのSSHの秘密鍵はノートPCのディスクの中に残り続けます。鍵をセキュリティキー側に移せば、持ち出す機械には鍵の実体が残りません。
確認していない範囲も書いておきます。ここで並べたのはメーカーが公開している記述どうしの突き合わせで、8台を手元に集めて実際にssh-keygenを通したものではありません。Yubicoの条件はファームウェアの版で決まるので、古い在庫を掴んだ場合はecdsa-skしか作れないこともあります。
パスキーは何個保存できるのか
パスキーを鍵に保存する使い方では、保存数の上限が効いてきます。この上限は製品名ではなくファームウェアの版で決まっていて、Yubicoは5.7世代で25個から100個に引き上げました。同じ世代でOATHの種も32個から64個に増えています。数字はYubicoのブログに書かれていて、技術マニュアルの側にも5.7.4以降でFIDO2の保存数が100になったと記載があります。
問題は、この版が箱に書かれていないことです。同じASINの商品でも、流通の在庫によって手元に届く版が変わります。25個の世代と100個の世代で製品名は同じままなので、買う前に見分ける手立てがありません。
届いてから確かめる方法はあります。Yubicoが配っている管理ツールのykmanを入れると、次のコマンドでファームウェアの版が出ます。
# 挿さっているYubiKeyのファームウェア版を表示する
ykman info出力のFirmware version:の行が5.7以上なら、パスキーは100個の世代です。25個で足りるかどうかは登録するサービスの数によりますが、GitHub・Google・Microsoft・AWS・パスワードマネージャと足していくと、25個は思ったほど余裕がありません。
なお、この保存数はキーの中に鍵そのものを持つ「保存するパスキー」に対する上限です。サービス側に鍵の情報を預ける古い形の2段階認証では、この数を消費しません。同じ鍵をいくつのサービスに登録できるかという話とは別ものになります。
まとめ：判断の順番
値段の順に見ていくと、いちばん高いモデルが最も狭い対応プロトコルだという逆転に当たります。次の順に決めると絞れます。
- 手元の端子を数える。USB-CだけのノートPCならUSB-Aの鍵は変換が要ります
- スマホで使うかを決める。使うならNFC対応の5台に絞られます
- 対応プロトコルの段を選ぶ。パスキーだけなら最初の段で足り、GPGやPIVまで要るなら3段目になります
- 指紋が要るかを最後に足す。指紋を選ぶと対応プロトコルか値段のどちらかを譲ることになります
- SSHの鍵を載せるなら形式を確かめる。FEITIAN ePass K9は ecdsa-sk のみです
- 2本目を同時に買う。1本しか登録していないと、紛失がそのまま締め出しになります
なお、この記事の仕様は各社の公式製品ページと開発者向け文書に載っている値です。8台を集めて認証の成否やファームウェアの版を実測したものではありません。参考価格は掲載時点でAmazonから取得したもので、楽天には出品が無いか転売の出品しか無かったため、この記事には楽天のレビューを載せていません。