什么是 Passkey

Passkey 是一种旨在取代密码的下一代认证技术。基于 FIDO 联盟和 W3C 开发的 FIDO2/WebAuthn 标准，Passkey 使用公钥密码学来认证用户。它不依赖密码这样的"知识"因素，而是将存储在设备上的私钥与生物识别认证（指纹或面部识别）或设备 PIN 相结合，实现安全便捷的登录。

自 2022 年 Apple、Google 和 Microsoft 联合宣布支持 Passkey 以来，兼容服务的数量迅速扩大。截至 2025 年，大多数主要 Web 服务都支持 Passkey 登录，用户正在迎来摆脱密码管理负担的时代。

Passkey 的工作原理

公钥密码学认证

Passkey 的核心是公钥密码学。在账户注册时，设备上生成一对公钥和私钥。公钥被发送到服务的服务器并存储，而私钥保存在设备的安全区域（TPM、Secure Enclave 等），受设备加密保护。

  1. 用户请求登录，服务器发送一个随机挑战（认证请求）
  2. 设备通过生物识别认证或 PIN 验证用户
  3. 验证通过后，私钥对挑战进行签名，签名被发送回服务器
  4. 服务器使用存储的公钥验证签名，完成认证

WebAuthn 和 CTAP

Passkey 建立在两个关键技术规范之上：

  • WebAuthn（Web 认证 API）：浏览器与 Web 服务之间的认证协议。通过 JavaScript API，网站可以请求创建和使用 Passkey
  • CTAP（客户端到认证器协议）：浏览器与设备（认证器）之间的通信协议。支持通过 USB、NFC 和蓝牙与外部认证器交互

与密码的根本区别

密码依赖于服务器和用户都知道同一秘密的共享秘密模型。这种模型容易受到服务器端数据泄露、凭据填充攻击和钓鱼的影响。使用 Passkey，私钥永远不会离开设备，从根本上杜绝了这些攻击。

Passkey 的安全优势

抗钓鱼能力

Passkey 绑定到注册时的域名（origin）。私钥不会在虚假网站的域名上使用，天然具有抵抗钓鱼攻击的能力。即使用户导航到钓鱼网站，Passkey 认证过程也会自动失败。

抗服务器泄露能力

服务器上只存储公钥。即使服务器被黑客入侵公钥泄露，没有私钥也无法登录。数字身份盗窃的风险大幅降低。

抗重放攻击能力

每次认证尝试都会生成唯一的挑战，使重放攻击，即重用过去的认证数据，变得不可能。要深入了解这些概念，可以阅读Web 认证安全指南。

消除密码相关威胁

  • 暴力破解攻击：没有密码可以猜测
  • 字典攻击："弱密码"的概念不存在
  • 凭据填充：无法重用泄露的密码
  • 键盘记录器：没有密码需要输入，键盘记录毫无意义

在主要平台上设置 Passkey

Apple（iPhone / iPad / Mac）

Apple 通过 iCloud 钥匙串同步 Passkey。适用于 iOS 16+、macOS Ventura+。

  1. 在支持的网站上打开账户设置页面
  2. 选择"添加 Passkey"或"设置安全密钥"
  3. 使用 Face ID 或 Touch ID 进行认证
  4. Passkey 保存到 iCloud 钥匙串，在使用相同 Apple ID 的所有设备上可用

Google（Android / Chrome）

Google 通过 Google 密码管理器管理 Passkey。支持 Android 9+ 和 Chrome 118+。

  1. 在支持的网站上开始 Passkey 设置
  2. 使用指纹、面部识别或屏幕锁定 PIN 进行认证
  3. Passkey 同步到您的 Google 账户，在使用相同账户的 Android 设备和 Chrome 上可用

Microsoft（Windows）

Windows 11 通过 Windows Hello 支持 Passkey。2025 年的更新增加了 Passkey 同步到 Microsoft 账户的功能。

  1. 在支持的网站上选择创建 Passkey
  2. 使用 Windows Hello（面部识别、指纹或 PIN）进行认证
  3. Passkey 存储在 Windows 凭据管理器中

第三方密码管理器

包括 1Password、Bitwarden 和 Dashlane 在内的主要密码管理器支持 Passkey 的存储和同步。这些第三方产品便于跨不同平台使用 Passkey。FIDO2 Passkey 技术书籍可以提供更深入的技术内容。

支持 Passkey 的服务（2025-2026）

支持 Passkey 的服务数量正在快速增长。以下是主要的兼容服务。

主要科技公司

  • Google：推荐 Passkey 作为所有 Google 账户的默认认证方式
  • Apple：Apple ID、iCloud 和 App Store 支持 Passkey
  • Microsoft：Microsoft 账户和 Microsoft 365 支持 Passkey
  • Amazon：购物和 AWS 控制台支持 Passkey

社交媒体和通信

  • GitHub、X（原 Twitter）、LinkedIn、WhatsApp、PayPal

金融和支付

  • PayPal、Stripe 以及部分银行和券商
  • 在日本，Yahoo! JAPAN 是早期采用者，截至 2025 年已有超过 5000 万个账户使用 Passkey

与传统双因素认证的比较

双因素认证（2FA）通过在密码之外要求额外的认证因素来增强安全性。然而，基于短信的 2FA 容易受到 SIM 卡交换攻击，TOTP（基于时间的一次性密码）仍然可以在钓鱼网站上输入。Passkey 从根本上解决了这些问题，通过单次操作提供等同于或超过多因素认证的安全性。

挑战与注意事项

设备丢失恢复

由于 Passkey 与设备绑定，当所有设备丢失时的账户恢复是一个挑战。如果启用了云同步（iCloud 钥匙串、Google 密码管理器），在新设备上恢复很简单，但了解云存储的安全影响也很重要。没有同步的情况下，需要确保有替代恢复方法。

跨平台挑战

截至 2025 年，在 Apple、Google 和 Microsoft 生态系统之间共享 Passkey 仍不完全无缝。跨不同平台使用 Passkey 需要基于二维码的近距离认证或第三方密码管理器。

服务覆盖有限

虽然 Passkey 的采用正在增长，但并非所有 Web 服务都支持。在一段时间内，Passkey 与传统密码和 2FA 并用的过渡期将继续。

共享账户处理

在家庭成员或团队共享的账户上使用 Passkey 可能比较复杂。每个成员需要注册各自的 Passkey，或者团队需要使用密码管理器的共享功能。

2025-2026 年最新动态

CXP/CXF 凭据同步协议

FIDO 联盟于 2025 年底发布了凭据交换协议（CXP）和凭据交换格式（CXF）规范，实现了不同密码管理器和平台之间 Passkey 的安全转移。这解决了 Passkey 采用的最大障碍之一，供应商锁定，允许用户在 1Password、Bitwarden、Apple 钥匙串和 Google 密码管理器之间自由迁移凭据。

Passkey 导出/导入标准化

基于 CXP/CXF，主要密码管理器在 2026 年初实现了 Passkey 导出和导入功能。用户现在可以独立备份 Passkey，并在不同生态系统之间迁移而无需在每个服务上重新注册。这一标准化显著加速了企业 Passkey 的采用，因为组织现在可以大规模管理凭据的可移植性。

FIDO2 Level 3 认证

FIDO 联盟将认证器的安全水平划分为 Level 1 至 Level 3+ 的认证等级。较高的 Level 3 等级要求硬件级密钥保护、抗侧信道攻击能力和物理防篡改检测。满足这些要求的设备可为认证器完整性提供有力保证，使 Passkey 适用于包括金融服务和政府系统在内的高安全性应用。

Passkey 采用加速

支持 Passkey 的服务逐年扩大，在电子商务和金融服务领域的采用尤为迅速。Google 自 2023 年 10 月起将 Passkey 作为个人账户的默认登录选项，Apple 和 Microsoft 也在推进以 Passkey 为先的认证方式。

Credential Manager API 标准化

W3C 一直在推进 Credential Management API 的扩展，使 Passkey 的创建和管理更加直观。在 2025-2026 年，浏览器自动填充与 Passkey 的集成进一步改善，用户只需从密码字段中选择 Passkey 即可登录。

日本的银行与金融机构引入 Passkey

日本国内金融机构引入 Passkey 的进程从 2025 年后半开始迅速推进。三菱 UFJ 银行、三井住友银行、瑞穗银行这三家大型银行已在网上银行中引入 Passkey 认证，SBI 证券、乐天证券等网络券商也完成了 Passkey 支持。金融厅于 2025 年 12 月公布监督指针修订草案并征求意见，要求金融机构在登录、取款等重要操作时引入并强制使用 Passkey 等具备抗钓鱼能力的多因素认证。银行与证券行业整体正在向抗钓鱼认证迁移。此外在民间服务方面，Yahoo! JAPAN 使用 Passkey 的账户已超过 6000 万。

Passkey 与 My Number 卡的联动

数字厅推动的 My Number 卡与 Passkey 的联动在 2026 年显现出具体成果。2025 年 10 月，"搭载 My Number 卡电子证书的智能手机"支持机型大幅扩充，Android 与 iPhone 的主要型号都可以把 My Number 卡的电子证书装入手机。由此，将 My Number 卡的身份核验功能与 Passkey 结合的高可信度认证流程得以实现，行政手续的线上化随之加速。My Number 门户已把 Passkey 登录标准化，报税与各类申报的线上完结率大幅提高。

面向企业的 Passkey 管理

面向企业 IT 管理员的 Passkey 批量管理与策略设置功能日趋完善。Microsoft Entra ID、Google Workspace、Okta 等身份提供商强化了 Passkey 的管理功能，支持企业整体向无密码迁移。到 2026 年，已能提供更为精细的管理功能，例如设备绑定 Passkey 与同步 Passkey 的分用策略，以及按部门设定认证强度要求等。

Passkey 迁移清单

按照以下步骤逐步从密码过渡到 Passkey：

  1. 确认您当前的哪些账户支持 Passkey（在 passkeys.directory 上搜索）
  2. 优先为最重要的账户设置 Passkey（电子邮件、银行、社交媒体）
  3. 对于尚不支持 Passkey 的服务，设置强密码和双因素认证
  4. 启用 Passkey 的云同步，并确保设备丢失时有恢复方法
  5. 采用第三方密码管理器以实现跨平台 Passkey 使用
  6. 定期检查您的数字身份保护状态，审查登录历史中的可疑活动
  7. 向家人和同事推荐采用 Passkey 以提高整体安全性

总结

Passkey 是一种消除密码根本漏洞的下一代认证技术。在抗钓鱼能力、抗服务器泄露能力和易用性三个关键领域，它显著优于传统的密码加 2FA 方案。兼容服务正在快速扩展，现在是开始 Passkey 迁移的理想时机。从为最重要的账户设置 Passkey 开始，逐步构建无密码环境。在进行 Passkey 迁移的同时，考虑在我们的网站上运行安全检查，审查您当前的浏览器和网络安全状况。

相关术语

Passkey 基于 FIDO2/WebAuthn 标准的无密码认证技术…… 公钥密码学 一种使用数学关联的密钥对，公钥和私钥，的密码学方法……

常见问题

通行密钥比密码更安全吗？

是的。通行密钥采用公钥加密体系，私钥不会离开设备。它对钓鱼攻击有根本性的抵抗力，也不存在密码重复使用或泄露的风险。

哪些服务支持通行密钥？

Google、Apple、Microsoft、GitHub、Amazon、PayPal、Yahoo! JAPAN 等主要服务均已支持。支持的服务在快速增加，可在 passkeys.directory 查看最新情况。