Passkey
由FIDO联盟推动的新型无密码认证标准，基于公钥加密技术，使用生物识别或设备PIN码替代传统密码，从根本上防止钓鱼攻击和密码泄露
核心事实
时间轴 (近 90 天)
一篇题为《Passkeys are a trap. Do not use them》的文章在 Hacker News 上收获 243 个赞和超过 130 条评论
FIDO 联盟近年来在推动跨平台的 Passkey 导入导出标准
Passkey 一旦设备丢失且没有做好同步或备份，用户可能面临彻底失去账户访问权的风险
当 Passkey 被绑定在某个厂商生态系统中时，跨平台迁移往往异常困难，这强化了厂商锁定
文章对 Passkey 的批评主要集中在可移植性、厂商锁定和用户控制权三个方面
Apple、Google、Microsoft 等巨头都在力推 Passkey 方案以取代密码
基于硬件密钥（FIDO2/Passkey）的认证方式将验证绑定至特定设备与来源域，是目前对抗会话劫持最有效的MFA形式
系统钥匙串的数据在静止时经过系统级加密，且只有当前用户的授权进程才能读取，使用钥匙串是业界推荐的安全实践
Passkey 与域名强绑定，天然抵御钓鱼攻击
Passkey 中私钥保存在用户设备或密码管理器中，公钥交给服务方，私钥本身永不离开设备
还有 15 条时间轴事件
全部知识事实 (20)
Passkey 基于 W3C WebAuthn 标准与 FIDO Alliance 的 FIDO2 规范，核心是非对称密钥加密，私钥安全存储于设备中从不离开设备
70%已验证硬件安全密钥（如 YubiKey）通过 FIDO2/PIV 协议实现私钥永不离开硬件设备
65%待验证Passkey作为FIDO2的消费级演进，由苹果、谷歌和微软联合推广，支持跨设备同步
60%待验证FIDO 联盟近年来在推动跨平台的 Passkey 导入导出标准
50%待验证Apple、Google、Microsoft 等巨头都在力推 Passkey 方案以取代密码
50%待验证文章对 Passkey 的批评主要集中在可移植性、厂商锁定和用户控制权三个方面
50%待验证当 Passkey 被绑定在某个厂商生态系统中时，跨平台迁移往往异常困难，这强化了厂商锁定
50%待验证Passkey 一旦设备丢失且没有做好同步或备份，用户可能面临彻底失去账户访问权的风险
50%待验证基于硬件密钥（FIDO2/Passkey）的认证方式将验证绑定至特定设备与来源域，是目前对抗会话劫持最有效的MFA形式
50%待验证系统钥匙串的数据在静止时经过系统级加密，且只有当前用户的授权进程才能读取，使用钥匙串是业界推荐的安全实践
50%待验证Passkey 存在锁定风险，当绑定到特定生态时用户跨平台或切换设备可能遭遇障碍，恢复流程往往不够顺畅
50%待验证在接入 Passkey 之前应认真设计恢复流程、跨平台方案和用户引导
50%待验证Passkey 与域名强绑定，天然抵御钓鱼攻击
50%待验证与基于 TOTP 的双因素认证不同，Passkey 采用挑战-响应机制，服务方每次登录发送随机挑战值，由设备用私钥签名返回，不存在可被中间人截获重放的一次性密码
50%待验证使用密码管理器存储 Passkey 会使安全性从依赖设备本地硬件转变为依赖密码管理器账户的安全强度，二者威胁模型不同
50%待验证Passkey 中私钥保存在用户设备或密码管理器中，公钥交给服务方，私钥本身永不离开设备
50%待验证Bitwarden支持存储和使用Passkey（通行密钥）
50%待验证Passkey本身设计上并不总是可导出的，部分通行密钥迁移时可能需要在新工具中重新注册
50%待验证开源维护者应强制启用双因素认证（2FA），优先使用硬件密钥或Passkey而非短信验证
50%待验证Passkey是由FIDO联盟推动，Google、Apple、Microsoft等科技巨头共同支持的一种登录方式
50%