- Passkeys 使用公鑰加密技術，取代了記憶密碼。
- 它們能夠抵禦網路釣魚攻擊，並且在資料外洩事件中不會暴露：私鑰永遠不會離開設備。
- 廣泛相容於 iOS、Android、Windows 和現代瀏覽器；已被各大服務採用。
- 為了兼顧便利性和控制性，我們提供了同步和裝置關聯的密碼。
如果你多年來一直為難以記住的密碼組合而苦惱，你並不孤單：密碼一直是存取線上服務的必要代價。好消息是，Passkey 即將改變這種現狀，讓登入更加安全便捷，無需記憶任何內容。
這場變革背後是強大的產業共識：蘋果、谷歌和微軟等公司都已採用通用標準，以消除對密碼的依賴。其目標是透過基於現代加密技術和用戶設備驗證的系統，減少詐欺、資料外洩和用戶摩擦。
什麼是密碼密鑰？它是如何運作的？
通行金鑰（或存取金鑰）並非偽裝的密碼，而是一種依賴加密金鑰對的身份驗證方法。您無需輸入一串字符，而是透過生物辨識技術（指紋或臉部辨識）或本地 PIN 碼在裝置上驗證身份。
建立服務通行金鑰時，您的手機或電腦會產生兩個部分：公鑰和私鑰。公鑰儲存在服務的伺服器上，而私鑰則安全地保存在您的裝置上，絕不會被共用。
非對稱加密：兩個金鑰協同工作
該系統被稱為公鑰密碼學。私鑰對伺服器發送的挑戰進行簽名，公鑰則驗證該簽名。這使得服務能夠在無需知曉或接收任何敏感資訊的情況下驗證您的身分。
需要強調的是：私鑰不會傳輸到伺服器，也不會外洩。它僅用於本地簽署臨時挑戰，這與傳統密碼有本質差異。
逐步身份驗證流程
登入時，服務會產生一個驗證碼，您的裝置會要求您進行驗證（生物辨識或 PIN 碼）。如果您的身份驗證正確，裝置會使用您的私鑰對驗證碼進行簽名，並發送簽名後的回應。伺服器使用儲存的公鑰驗證簽名，並授予您存取權限。
此外，為防止重複使用，這些挑戰的有效期有限，並且與正確的網域名稱綁定。這種網域綁定機制可以有效防止網路釣魚攻擊，即使有人試圖誘騙您購買外觀完全相同的假網站。
私鑰儲存在哪裡？
現代設備將私鑰儲存在經過加固的硬體或軟體的安全區域內。 iPhone 、iPad 和 Mac 使用安全隔離區 (Secure Enclave)；Android 和 Windows 使用 TPM 或同等解決方案；三星裝置則使用 Knox。這些「保險庫」相互隔離，以最大程度地降低惡意軟體或未經授權存取的風險。
在許多情況下，密碼金鑰也會透過各個生態系統內的服務（例如 iCloud 或 Google 密碼管理器）在您的裝置之間安全同步。這種同步功能讓您可以輕鬆地從多個受信任的裝置登錄，而不會影響安全性或易用性。
Passkey 與密碼：主要區別
與傳統密碼的差異顯而易見。使用 Passkeys，您無需建立或記憶弱密碼，因此常見的錯誤（重複使用、弱組合、在虛假網站上輸入等）都會消失。
另一個關鍵區別在於價值的儲存位置。密碼通常儲存（或衍生）在伺服器上，因此可能在資料外洩事件中洩漏；而使用通行金鑰時，伺服器只擁有公鑰，如果沒有使用者的私鑰，公鑰就毫無用處。
創建和管理
建立強密碼很複雜：每個帳戶的密碼都需要足夠長、唯一且隨機產生。使用 Passkeys，您無需進行任何設定：您的裝置會自動產生金鑰對，即可使用您常用的解鎖方式進行解鎖。
抵禦網路釣魚攻擊
欺騙攻擊試圖誘騙您在虛假網站上輸入憑證。使用密碼金鑰，您無需輸入任何秘密訊息，而且簽名與合法網域名稱關聯，因此釣魚網站無法竊取您未輸入的資訊。
差距中的暴露
如果服務遭到入侵，資料庫洩露，使用密碼可能會導致災難蔓延到您重複使用密碼的其他帳戶。而使用金鑰，伺服器上只有公鑰，但如果沒有您自己保管的私鑰，公鑰就毫無用處。
目前相容性
密碼在任何地方都有效。 Passkey已經很普及，但尚未涵蓋所有平台。因此，Passkey 與密碼和雙重認證 (2FA) 並存，儘管 Passkey 的使用率每月都在增長。
通行密鑰的優勢
好處清單令人信服。最主要的一點是：無需依賴記憶即可實現「預設」安全。無需記住字串，避免重複使用，也避免了拼字錯誤。
- 反釣魚和反鍵盤記錄器： 你不需要輸入密碼，所以虛假網站或鍵盤記錄器無法取得任何資訊。
- 更大的隱私： 生物辨識資料不會離開設備，私鑰也絕對不會被分享。.
- 真正的舒適： 生物辨識或本地PIN碼取代了繁瑣的密碼操作。減少摩擦，降低登入放棄率。
- 成本影響： 減少重置次數和減少雙重認證“修補” 它減輕了技術和支援團隊的工作量。
除此之外，Passkey 還提供了一種整合式多因素身份驗證：您擁有的東西（您的設備）和您自己或您知道的東西（生物識別資訊或 PIN 碼）。這種組合是標配，大多數情況下使用者無需額外操作。
缺點和當前局限性
並非一切都盡善盡美。目前普及程度尚不完善，部分服務也不支持，因此在某些情況下您仍需繼續使用密碼。
另一個關鍵點是復原。如果您遺失了所有裝置且沒有備份/同步，則可能需要其他方法或服務提供者的支援才能重新取得存取權限。
此外，還存在生態係依賴性。許多密碼金鑰透過 iCloud、Google 密碼管理器或類似解決方案同步，但這些方案可能不適用於所有環境或政策。
最後，如果不使用相容的管理器，管理不同的系統可能會很複雜。有時，您需要原始裝置或同步橋才能登入另一個平台。
技術基礎成熟，相容性廣泛。在蘋果系統中，iOS 16 及更高版本，以及 macOS Ventura 13 及更高版本，均已支援密碼鍵，並與 Face ID 和 Touch ID 整合。
在 Android 方面，運行 Android 9（Pie）或更高版本的裝置均相容，Google 密碼管理器可處理同一用戶裝置之間的同步。
在 Windows 系統中，Windows 10 和 11透過 Windows Hello將密碼金鑰整合到 Windows 11 中，從而統一了在相容裝置上使用本機 PIN 碼、指紋或臉部辨識進行驗證的功能。
瀏覽器方面呢？Google Chrome 109+、蘋果 Safari 16+ 和微軟 Edge 109+都支援此功能，而 Firefox 提供的功能則較為有限且仍在不斷改進。
已經加入這一行列的服務商名單還在增加。除了眾多平台和零售商之外，其中不乏蘋果、Google、微軟、亞馬遜、PayPal、百思買和Adobe等知名企業。
- 電子商務： 亞馬遜、沃爾瑪、百思買、塔吉特、Shopify、Kayak。
- 社交網絡： X（推特）、LinkedIn、TikTok。
- 財務和支付： Coinbase、Robinhood、Stripe、PayPal、Affirm。
- 開發和儲存庫： 支援 GitHub、Bitbucket；以及 Dropbox 等服務。
許多其他平台正在推出或測試中。如果您在更新帳戶時看到「建立存取金鑰」選項，則表示該服務已支援此功能，至少可以作為密碼的替代方案。
通行金鑰類型：已同步且已關聯到設備
並非所有通行金鑰都一樣。多設備（同步）通行密鑰優先考慮最終用戶的便利性，可在同一生態系統內安全地在您信任的設備之間複製。
相比之下，有些密碼密鑰與單一設備綁定，無法複製。這種方法對那些政策嚴格的公司很有吸引力，因為它們犧牲了便攜性來換取控制權和安全性。
進階安全功能：質詢過期、網域綁定和多因素身份驗證 (MFA)。
除了公鑰加密之外，該協定還增加了其他保護措施。簽名挑戰會立即過期以防止重複使用，並且與正確的網域名稱關聯，從而防止虛假網站「驗證」簽名。
生物辨識驗證（或 PIN 碼）提供了安全保障的第二塊拼圖：如果沒有這一本地步驟，私鑰就無法使用。這意味著即使有人持有設備，未經您的驗證也無法進行身份驗證。
綜上所述，我們討論的是一種一步式多因素身份驗證。結果是，與傳統的使用者名稱+密碼+雙重認證組合相比，它能提供更強大的身份驗證，且操作更方便。
最佳實踐、密碼恢復與共存
如果您遺失了手機或電腦，請不要驚慌。大多數平台都提供復原機制：例如使用先前關聯過的裝置、備份程式碼或其他方法。
如果可用，建議啟用密碼複製和同步功能。如果您使用多個系統，請考慮使用支援密碼的密碼管理器，以確保密碼在不同平台上都能安全存取。
由於並非所有服務都已完成切換，您仍需繼續使用密碼一段時間。在無法使用密碼金鑰的情況下，請使用強密碼並啟用雙重認證 (2FA) 或多因素身份驗證 (MFA )（最好使用身份驗證應用程式而非簡訊驗證碼）來降低風險。
另請注意，生物識別資訊是在您的設備上處理的。服務提供者不會收到您的指紋或臉部訊息，只會收到您已通過本地驗證的確認訊息，從而保護您的隱私。
標準和機構支持
這並非某家製造商的獨創技術。 Passkeys採用的是 W3C 的 FIDO2 和 WebAuthn 標準，這些標準由 FIDO 聯盟與領先的供應商共同推廣。
這種開放框架使得瀏覽器、作業系統和服務能夠使用同一種語言進行通訊。因此，使用者體驗保持一致，安全性也可透過第三方進行驗證。
一個重要的里程碑是美國國家標準與技術研究院 (NIST) 在其 SP 800-63B 補充文件中認可了同步通行金鑰。這項機構認可正在推動銀行業和醫療保健等受監管行業採用同步通行密鑰，因為在這些行業中，網路釣魚和詐欺是至關重要的問題。
對開發者而言：輕鬆集成
如果你開發的是數位產品，就不需要重新發明加密技術。現代身分提供者已經在登入流程中提供了現成的金鑰。
如果您需要在後端進行精細控制，可以使用支援多種語言的 WebAuthn 程式庫來處理質詢驗證和公鑰儲存。在行動端，Apple 身分驗證服務和 Google 身分服務可以輕鬆整合原生體驗。
此外，還有一些專門的平台提供 SDK、客製化和分析功能，以加速密碼金鑰專案。像 OwnID 這樣的解決方案只需幾行程式碼即可簡化部署，同時也能確保合規性和流暢的使用者體驗。
用例和實際場景
在電子商務領域，快速安全的登入方式可以降低購物車棄購率。在金融領域，由於存在詐欺風險，反釣魚和整合式多因素身份驗證尤為重要。
在企業中，設備關聯的密碼可以控制內部存取權限。對於SaaS和消費者平台而言，同步密碼能夠更好地平衡安全性和便利性，從而減少「我忘記密碼了」的情況發生。
Preguntas frecuentes
通行密鑰比密碼更安全嗎？
是的。它們具有防釣魚攻擊能力，無法被猜到，也不會在資料外洩事件中暴露，因為私鑰永遠不會離開設備。
它們會被駭客入侵嗎？
沒有絕對萬無一失的安全措施，但這種設計最大限度地減少了攻擊面。即使伺服器遭到攻擊，也只能取得公鑰，而沒有私鑰對和本機驗證，公鑰毫無用處。
它們在任何地方都能用嗎？
尚未實現。覆蓋範圍正在快速擴大，但某些服務仍需要使用密碼。在無法使用密碼的情況下，請啟用雙重認證 (2FA)。
如果我丟失了手機會怎麼樣？
使用備份設備或代碼啟動恢復功能。如果您將密碼同步到受信任的雲端，則可以在新裝置上使用您的帳戶恢復密碼。
我需要密碼管理器嗎？
雖然並非強制要求，但如果您使用多個系統或想要更便攜的副本，這會很有幫助。一些密碼管理器已經能夠同時儲存密碼和通行金鑰，從而集中管理所有內容。
如果我啟用密碼金鑰，還能繼續使用我的密碼嗎？
是的，出於相容性考慮，許多服務都支援使用通行金鑰。如果可以選擇，請優先使用通行密鑰，並將密碼保留為舊方法，同時允許它們繼續共存。
會使用哪些生物辨識資訊並將其傳送到伺服器？
系統會使用您已用於解鎖裝置的生物辨識資訊（指紋或臉部辨識）。此資訊不會被共用；它僅用於在本地確認驗證是否成功。
Passkey 的誕生旨在解決密碼的根本問題：它無需記憶密碼，可有效抵禦網路釣魚，並降低資料外洩的影響，同時還能在您自己的裝置上提供無縫體驗。憑藉 Apple、Google、Microsoft 等公司以及 FIDO2/WebAuthn 等開放標準的支持，Passkey 的應用正在各個系統、瀏覽器和主要服務（電子商務、網路、金融和開發）中迅速普及。雖然 Passkey 與密碼可以共存，但在條件允許的情況下啟用 Passkey，並在其他情況下繼續使用雙重認證 (2FA)，是目前最明智的增強安全性且不會使系統複雜化的方式。
