不用密码但不能代替密码：通行密钥如何让登录这件事更简单？

Apple在WWDC2022中向开发者介绍了「通行密钥（Passkeys）」这项新的「希望可以替代密码」的新技术，并期望通过这项新技术来解决上面的问题。

单个通行密钥由一对密钥组成，分别是公钥（Publickey）和私钥（Privatekey）。

我们可以把公钥类比于带「防盗」锁的传统信箱，把私钥类比于信箱的锁的钥匙。邮递员投递的信件就是我们要加密的信息，通过投递到信箱中加密起来，然后也只有信箱的主人才有钥匙能够打开信箱读取信件的内容。如果一个人手上没有钥匙，那就需要用暴力开防盗锁，整个过程不仅耗时耗力，最后也往往没办法打开那把防盗锁。

所以这也是为什么通行密钥可以替代各种形式的验证码进行身份验证。

细心的同学可能会疑惑，上述过程中的假设是如何成立的？换句话说，服务端最初是如何获得公钥并与我们手里的私钥产生对应关系的？

目前，从WWDC的视频和Google开发者文档中的信息来看，我们需要先行通过传统的密码方式注册一个账号，然后再绑定通行密钥到该账号中。

同样是扫码行为，通行密钥不同的地方在于它可以脱离对具体服务端、客户端的依赖，变成一种纯粹的身份认证工具。因为它本质上是FIDO对通行密钥的扩展——客户端到认证器协议规范（ClienttoAuthenticatorProtocol，CTAP），也就是外部认证器通过中继网络（RelayNetwork）向用户的互联网接入设备局部传递认证证书——我们需要做的，就是通过设备上的生物信息验证机制将通行密钥认证结果传递给其他设备。

通行密钥的扫码操作的背后，一般则会将手机作为认证器与电脑通过USB、NFC或蓝牙等方式进行通讯。具体而言，电脑端会根据FIDO的协议生成一个随机字符串并编码为二维码展示，然后手机扫码该二维码获取该随机字符串（keyinput）并作为对称加密密钥，并建立一个近距离通讯的网络发布，电脑端使用相同的字符串连接上该网络。如此，手机和电脑便能安全地互相通讯。

一方面，任何基于物理设备生成的身份验证手段，在设备被盗或丢失后，都将面临密码泄露的风险，但通行密钥要求每次访问私钥的时候都经过设备的生物认证，安全性相对更好。且一个账号可以绑定多个设备的通行密钥，设备丢失后还可以在服务端删除对应的通行密钥以进一步加强安全性。

另一方面，钓鱼网站攻击主要依靠伪装目标网站的方式来骗取用户主动输入账号密码。通行密钥方案的原理则决定了钓鱼网站首先需要拥有用户的公钥——我们在上面已经提到，公钥从生成开始便储存在目标网站的服务器上，除非这些钓鱼网站直接攻破这些网站的服务器，否则无从获取公钥，但如果真的可以攻破服务器为什么又要采用钓鱼手段呢；另外，在通行密钥的认证流程中，我们也从来不需要向任何人发送自己的私钥，仅通过二维码等近场通信手段交换答案，这两点可以在很大程度上阻止当前钓鱼网站的攻击。

通过上面的介绍，我们也不难看出通行密钥的不足——它并不能像某些网络报道中所宣称的那样，完全取代你的密码。

最后则是密码遗忘问题。由于通行密钥本身极大的便利性，人们会很容易使用并依赖它。但别忘记，通行密钥无法完全替代密码本身。年轻人或许能学会使用密码管理器，但是长辈们可能会由于长期没有间歇性使用密码便完全忘记了当初设定的密码，通行密钥的普及将会放大这一现象。