パスキーログインをする際
サイト側はチャレンジをユーザーに投げつけますが
その後のことには関与しません。
つまり認証器の中の秘密鍵で署名するために
認証器のロックを解除しなければならないが
これは完全にユーザーの端末に委ねられるのであって
サイト側はどのように認証器のロックを解除したか
(つまりPINなのか生体認証なのか)は
知れないし関与できない
ただ、方法は指定できないが
ユーザー検証をしたということだけは知ることができる。(これは署名内容に含まれる)
また、認証器のロック解除の方法は
サイト毎ではなく、認証器毎にあらかじめ設定される。
スマートフォンであれば設定内の画面ロックの設定がそれです。
なので指紋認証とPINの両方を設定していれば
パスキーログイン時には好きな方を選んでログインする事ができます。
(もちろん、顔や指紋認証機能の無いデバイスならPINかパターンしか使えない)