Are Passkeys Safer Than Traditional Smartphone PINs?

⚡ 30-Second TL;DR

有什麼變化

Passkeys 本質上無法被釣魚，因為它們不會儲存在公司伺服器上。

為什麼重要

採用 Passkeys 可減少帳戶被接管的攻擊面，這對於保護整合 AI 的企業平台至關重要。

下一步行動

在您的應用程式中實作 FIDO2/WebAuthn 標準，以支援使用者的 Passkey 身份驗證。

誰應關注：Developers & AI Engineers

關鍵要點

•Passkeys 本質上無法被釣魚，因為它們不會儲存在公司伺服器上。
•身份驗證依賴於裝置綁定的唯一憑證，如臉部辨識或硬體支援的 PIN 碼。
•本文探討了使用者對於裝置遺失以及透過猜測 PIN 碼進行未授權存取的擔憂。

基礎標準： Passkeys基於FIDO2標準，該標準由W3C的WebAuthn（Web驗證API）和FIDO Alliance的CTAP2（客戶端到驗證器協議2）組成。
加密原理： Passkeys採用公開金鑰加密技術。在註冊過程中，使用者的裝置（驗證器）會生成一對唯一的公開金鑰和私鑰。私鑰安全地儲存在裝置上（通常在安全隔離區），而公開金鑰則傳送並儲存於依賴方（網站/服務）的伺服器。
驗證流程： 登入時，依賴方會向裝置發送一個「挑戰」（隨機資料）。裝置在使用者透過生物辨識或PIN碼驗證後，使用其私鑰對此挑戰進行簽名。簽名後的挑戰會傳回依賴方，依賴方再使用預先儲存的公開金鑰進行驗證。私鑰在此過程中絕不會離開裝置。
防網路釣魚機制： 私鑰與創建它的特定網域（依賴方ID）綁定。這意味著即使使用者被誘騙嘗試登入假冒的網路釣魚網站，Passkey也無法在該假網域上使用，因為網域ID不匹配。
驗證器類型： WebAuthn支援平台驗證器（內建於裝置或作業系統，如Face ID、Touch ID、Windows Hello）和跨平台驗證器（如YubiKey等實體安全金鑰，或透過密碼管理工具同步）。
跨裝置同步： Passkeys可以在同一生態系統內（例如Apple的iCloud鑰匙圈、Google的Google密碼管理工具）或透過第三方密碼管理工具進行同步，這些同步過程通常採用端到端加密以確保安全。