通行密钥详解：如何取代密码并抵御网络钓鱼
密码必须由你和网站双方知晓，而这恰恰让它有被盗的风险。通行密钥旨在避免这一问题：无需输入，也无需记忆，虚假网站也无法收集并重复利用它。
本文将介绍什么是通行密钥、如何使用通行密钥登录、它为何能抵御网络钓鱼，以及它在哪些方面仍依赖于你。
什么是通行密钥
据制定该标准的行业组织 FIDO 联盟介绍，通行密钥是一种凭证，让你可以通过解锁设备时使用的相同方式登录应用或网站，例如指纹、面部扫描、PIN 码或图案。它与你在特定网站上的账户绑定，可取代密码，并且在大多数情况下还能取代额外验证码。
从底层来看，通行密钥是一对密码学密钥。网站存储的是公钥，单独使用它毫无用处；私钥则保留在你的设备上。每个网站都会生成一对新的密钥，因此通行密钥无法像密码那样在不同服务间重复使用。
如何使用通行密钥登录
登录时，网站会向你的设备发送一次性挑战。你的设备会要求你通过生物识别或 PIN 码解锁，然后使用私钥对挑战进行签名，并将签名后的响应发回。网站会用存储的公钥验证签名，然后允许你登录。英国国家网络安全中心（NCSC）描述了相同的流程，其中私钥绝不会与网站或浏览器共享。
FIDO 表示，登录过程中不会传输任何个人数据或生物识别数据。指纹或面部扫描只在本地用于解锁设备上的密钥。
通行密钥为何能抵御网络钓鱼
关键区别在于，通行密钥与真实网站的域名绑定。NCSC 解释说，FIDO 身份验证器只会提供与用户当前访问的网站匹配的凭证，而且匹配检查由可信的浏览器或应用完成，因此虚假页面无法干预。仿冒网站没有密码或验证码可窃取。
NCSC 将通行密钥与传统的第二因素进行比较，发现所有传统方式（包括身份验证器应用生成的验证码）都容易受到攻击者实时通过虚假页面转发登录请求的攻击，而 FIDO2 凭证则不会受到这种攻击。NCSC 还报告称，在撰写本文时，尚未发现针对 FIDO2 身份验证本身的现实攻击，不过攻击者确实会试图诱使账户改用较弱的备用方式登录。因此，账户上仍启用的最弱登录选项也很重要。
同步通行密钥与设备绑定通行密钥
通行密钥有两种形式。同步通行密钥通过同步服务进行备份，并会出现在你的其他设备上，因此即使丢失一台设备，你仍能访问账户。设备绑定通行密钥（例如存储在实体安全密钥上的通行密钥）则保留在该设备上，无法复制。
两种方式各有取舍。NCSC 建议保护同步服务背后的账户，防范网络钓鱼，并确保有安全的账户恢复方式；该机构还指出，其在 2025 年对主要第一方同步服务进行的审查发现，这些服务在存储通行密钥时要求启用双重身份验证，而第三方服务的要求则各不相同。对于设备绑定通行密钥，NCSC 表示用户应登记一个备用密钥，因为丢失的密钥无法找回。
通行密钥无法做到什么
通行密钥保护的是登录环节，并不能保护与之相关的一切。如果有人拿到你的设备，而你的 PIN 码又很弱，通行密钥就无能为力；NCSC 还指出，账户恢复流程往往比登录本身更薄弱，也是攻击者会瞄准的环节。通行密钥也不是加密货币钱包密钥。它用于登录账户，而自托管钱包的助记词或私钥控制着钱包中的资金；通行密钥无法保护或取代其中任何一种。
WEEX 提醒：通行密钥不是助记词
WEEX 提醒用户，通行密钥用于登录账户，而助记词或私钥控制着自托管钱包。切勿在任何要求你输入助记词以“验证”或“恢复”通行密钥的页面中输入助记词，也不要与任何人分享助记词，包括自称客服人员的人。请在设备上使用强 PIN 码，及时更新账户恢复选项，并在登录前核对网站地址。本文内容不构成财务建议。
结论
通行密钥用一对密钥取代了共享密钥，因此网站不会持有任何可能被盗并重复利用的信息，虚假网站也无从收集凭证。这使它成为个人账户目前最安全的登录方式之一。不过，它仍依赖于安全的设备、受保护的同步账户和可靠的账户恢复途径，而且对钱包助记词毫无保护作用。
常见问题
1. 什么是通行密钥？
通行密钥是一种 FIDO 凭证，让你可以使用解锁设备时所用的相同生物识别方式、PIN 码或图案登录应用或网站，而无需使用密码。
2. 通行密钥与密码有什么不同？
密码是一种由你输入、并由网站存储的共享密钥。通行密钥则是一对密钥，网站只存储公钥；每个账户都会单独生成一对密钥，并在你的设备上解锁。
3. 通行密钥属于双重身份验证吗？
如果登录时需要使用生物识别或 PIN 码，它就结合了你拥有的东西（设备上的密钥）与“你是谁”或“你知道什么”。FIDO 表示，通行密钥可以取代单独的验证码；NCSC 则认为它的安全级别相当于双重身份验证。
4. 通行密钥会遭遇网络钓鱼吗？
通行密钥旨在抵御网络钓鱼，因为它与真实网站的域名绑定。攻击者仍可能试图诱使账户改用较弱的备用登录方式，因此账户上设置的其他登录选项也很重要。
5. 如果我丢失了存有通行密钥的设备，会发生什么？
同一同步账户中的其他设备也可以使用同步通行密钥；你也可以在新设备上恢复该账户，以找回通行密钥。设备绑定通行密钥无法复制，因此你需要备用密钥或其他恢复方式。
