通行密钥(Passkey)

通行密钥(Passkey)是一种基于 FIDO2 与 WebAuthn 标准的无密码身份验证凭据,用一对非对称密钥取代需要用户记忆的传统口令,被视为密码的替代方案。

概述

通行密钥由 FIDO 联盟与 W3C 共同推动,苹果、谷歌、微软自二〇二二年起在各自平台落地。注册时,设备生成一对公私钥,私钥存放在设备的安全硬件区域并可通过云端在同厂商生态内同步,公钥上传给网站服务器。登录时服务器下发随机挑战,设备用私钥签名后返回,服务器用公钥验证,私钥全程不离开设备。

核心特点

• 无共享密钥:服务器只保存公钥,即使数据库泄露也无法伪造登录。
• 抗钓鱼:凭据与域名绑定,伪造网站无法触发正确的签名。
• 用户体验好:用指纹、面容或设备 PIN 即可完成,无需记忆和输入。
• 可同步与跨设备:借助手机作为漫游认证器,可在新设备扫码登录。

应用场景

各大平台账号、银行、电商与企业单点登录正逐步支持通行密钥。用户可在支持的网站选择创建通行密钥,之后免密登录;企业则可将其作为多因素认证的高安全因子,减少短信验证码与口令带来的风险。

常见问题

问:通行密钥丢了设备怎么办?答:若已开启云端同步,可在同生态的其他设备直接使用;否则需通过账号恢复流程或备用认证方式重新注册通行密钥。

问:通行密钥能完全取代密码吗?答:技术上可以,但当前多数网站仍保留密码作为兜底,过渡期内两者常并存。