TL;DR 链接到标题

  • 定义： 一种使用设备生物特征识别或 PIN 替代密码的技术。
  • 安全性： 具备“域名绑定”特性，可防范钓鱼攻击；不存在可被窃取的服务器共享密钥。
  • 效率： 登录速度比密码快 6 倍，平均成功率高达 93%。
  • 价值： 企业能够减少 81% 与登录相关的事务处理。

什么是Passkey？ 链接到标题

从技术角度，Passkey是基于 WebAuthn 标准的“可发现 FIDO 凭据”。它采用非对称加密，为每个账户生成唯一的公私密钥对。

  • 私钥： 安全地存储在用户设备的硬件中（如苹果的 Secure Enclave 或安卓的 StrongBox），不上传服务器。
  • 公钥： 注册并在服务提供商的服务器上存储。 身份验证是一个被称为“ceremony”的加密挑战响应过程：服务器发送挑战，设备在用户完成本地验证（如指纹、面容或 PIN）后使用私钥对其进行签名。

优势 链接到标题

  • 防范钓鱼： Passkey通过加密方式与特定域名绑定。例如，amazon.com 的Passkey不会响应来自仿冒域名 ama-zon.com 的请求，从根源上消除这一全球主要的数据泄露诱因。
  • 用户体验： Amazon 报告称登录速度提升了 6 倍；全球范围内登录时间已缩短至 2-5 秒。
  • 监管合规： Passkey能够满足美国 NIST AAL3 和欧盟 (EU) PSD2/SCA 等极高保障的安全标准。
  • 原生多因素验证 (MFA)： 它将“拥有的设备”与“生物特征”合二为一，在单一步骤中实现 MFA，无需再使用短信验证码。

局限性 链接到标题

  • 生态系统依赖： 同步型Passkey通常绑定在特定平台的管理器上（如 iCloud Keychain 与 Google 密码管理器之间难以直接互通），尽管跨设备二维码提供了连接桥梁。
  • 传统系统不兼容： 许多旧的企业级工具、大型机和工业系统尚未支持 WebAuthn API，需要混合系统维持漫长的过渡期。
  • 设备丢失后的恢复： 如果在没有云同步备份或硬件密钥（如 YubiKey）的情况下丢失所有设备，账户恢复过程比简单的邮件重置更为复杂。
  • 共享账户挑战： Passkey绑定到个人生物特征，不便于团队共享账户或公共服务终端使用。

常见误区 链接到标题

  • “无密码”陷阱： 许多实现仍允许用户先用旧密码登录再注册Passkey。如果攻击者窃取了密码，他们可以抢先注册自己的Passkey，从而获得永久且防钓鱼的账户访问权。
  • 不安全的后备方案： 恢复流程若回退到可被钓鱼的短信或邮件验证码，会将整个账户的安全性降至最弱的一环。
  • 缺乏遥测监控： 如果不详细测量验证步骤，团队将无法识别中国或日本等多元市场中的用户是否因特定安卓手机的 NFC 堆栈兼容性问题而放弃使用。

现实世界应用 链接到标题

  • 电子商务： Amazon、eBay 和 Shopify 使用Passkey来减少因忘记密码导致的放弃购买的行为。
  • 金融科技： PayPal 引入Passkey后登录成功率提高了 70%；在欧盟，银行利用其满足严格的支付安全法 (SCA)。
  • 日本： 到 2026 年，日本消费者的认知度已达 90%，在移动服务中启用Passkey已成为主流习惯。
  • 中国： 本地硬件供应商如飞天诚信 (Feitian) 为全球提供物理安全密钥，支撑着高安全行业（如政府和金融）的采用率。

生态系统 链接到标题

Passkey生态系统由 FIDO 联盟和 W3C 合作构建。

  • 平台供应商： 苹果、谷歌和微软提供操作系统级别的同步基础设施，并使用端到端加密保障安全。
  • 第三方管理器： Bitwarden、Dashlane 和 1Password 提供 iOS、安卓和 Windows 之间的跨平台移植性。
  • 硬件提供商： 瑞典的 Yubico 和 中国 的飞天诚信为高保障环境制造设备绑定型物理安全密钥。

未来 链接到标题

  • 凭据可移植性： FIDO 联盟正在标准化凭据交换协议 (CXP)，允许用户在不同提供商（例如从 Bitwarden 到 iCloud）之间安全转移凭据，打破生态锁定。
  • 注册流程简化： iOS 26 引入了“一键式账户创建 API”，可同步完成账户注册与Passkey生成。
  • 身份协调： 未来将Passkey（快速认证）与可验证凭据 (VC)（高信任身份证明）结合，使账户恢复流程也变得绝对安全。
  • 密码消亡： 全球 82% 的组织现在的目标是实现“完全无密码化”，将密码仅视为极少数情况下的紧急备份手段。