每次登录帐户或解锁设备时，我们都需要证明自己有权访问该帐户。一直以来，这种证明都以密码的形式呈现：一个我们需要记住或存储在 密码管理器 中的机密字符串。
通行密钥与密码的不同之处在于，它将访问与您实际拥有的东西绑定在一起——即已存储在手机、笔记本电脑或安全密钥中的加密令牌——并结合生物识别因素，例如指纹或面部扫描。
描述这种区别的一种常见方式是：
- 密码 = 您所知道的
- 通行密钥 = 你所拥有的 + 你是谁
虽然这两种方法都能让您获得访问权限，但它们实现该目标的方式不同，并且可能对安全性和易用性产生重大影响。
通行密钥是什么？
通行密钥类似于一种存储在你设备上的密码，可通过加密技术由你登录的帐户进行验证。通行密钥基于 FIDO2 标准（由 FIDO Alliance（新窗口） 定义）和 WebAuthn 应用程序接口。
具体操作如下：
创建通行密钥时，您的密码管理器会生成一对成对的加密密钥：公钥和私钥。
- 公钥会与您注册的服务分享。
- 私钥保留在您的密码管理器或设备中，绝不会离开。
在尝试登录时，服务会发出一个随机质询。您的设备使用设备上的私钥对该质询进行签名，生成一个只有匹配的私钥才能生成的响应。然后，服务会使用先前已存储的公钥验证该签名，确认您是合法的帐户持有人。
由于私钥绝不会离开您的设备，网络钓鱼网站无法诱骗您交出私钥，这使通行密钥天然具有防网络钓鱼能力。
安全性对比：通行密钥与密码
使用密码还是通行密钥取决于多种因素。并非每个网站都提供通行密钥选项。但对于支持通行密钥的网站，有几个理由值得考虑切换过去。
通行密钥被认为比密码更安全，因为机密密钥绝不会离开您的设备。即使有人用虚假网站诱骗您、窃取网络流量，或发起暴力攻击，他们也无法获取私钥——私钥保存在您的手机、计算机或安全密钥加密狗中。只要您使用 PIN、指纹或其他形式的双因素身份验证 (2FA) 保护设备，并拥有可靠的恢复方法，通行密钥就能为您提供比普通密码更强大、更防网络钓鱼的安全设置。
| 功能 | 通行密钥 | 密码 |
| 身份验证方式 | 公钥加密（私钥已存储在设备上） | 由用户记忆的机密字符串 |
| 防网络钓鱼能力 | 高 | 低 |
| 恢复选项 | 设备备份、帐户恢复流程 | 通过电子邮件或安全问题重置 |
| 用户体验 | 生物识别或 PIN | 手动输入或自动填充 |
| 兼容性 | 日益普及 | 普遍支持 |
| 重复使用漏洞 | 每个网站始终唯一 | 常见问题 |
通行密钥的易用性和用户体验
除了使用通行密钥的安全优势之外，还有其他好处：
- 通行密钥让登录更快捷，因为身份验证流程简化为只需轻点或看一眼，免去了手动输入密码或重置遗忘密码的麻烦。
- 许多密码管理器可以在您的设备之间安全地同步通行密钥。因此，在智能手机上创建的通行密钥可以在笔记本电脑、平板电脑或另一部手机上使用，无需重新注册。Proton Pass 可在任何平台或设备上使用，因此您可以在任何支持通行密钥的网站上使用通行密钥。
通行密钥的缺点和特殊情况
虽然通行密钥提供了强大的安全性和流畅的登录体验，但它并非万能的解决方案。在某些情况下，使用通行密钥可能仍会面临挑战。
设备丢失与恢复
如果已存储通行密钥的设备丢失、被盗或损坏，您将不得不依靠备份机制来重新获得访问权限。恢复通行密钥通常需要辅助设备或恢复短语，因此如果您没有设计完善的恢复流程，就可能面临无法访问帐户的风险。
采用率差距
一些网站和应用程序尚未实现支持通行密钥的 WebAuthn/FIDO2 标准。即使在已实现的网站中，通行密钥支持也可能仅限于某些生态系统或操作系统。
旧硬件的限制
旧版设备，例如较旧的智能手机、没有生物识别传感器的笔记本电脑，或不支持 WebAuthn 的浏览器，无法生成或存储通行密钥。
什么时候我仍然需要密码？
除了设置密码作为备用之外，在某些情况下，传统密码仍是你的主要访问方式。
1. 不支持通行密钥的网站
在通行密钥普及之前，某些网站可能仍需依赖密码。 在这种情况下，你可以设置双重验证 (2FA) 或 OTP 等方法来提高安全性。
2. 公共或共享计算机场景
如果你使用的不是自己的设备，输入密码（最好结合双重验证 (2FA)）可以在不留持久凭证的情况下获得临时访问权限。
3. 组织策略与合规要求
包括政府或金融标准在内的公司法规可能要求多因素设置中仍包含密码组件，或出于审计目的强制定期轮换密码。此外，企业的 单一登录 (SSO) 解决方案有时仅将通行密钥作为可选因素，而密码仍是主要凭证。
如何采用通行密钥
切换到通行密钥相对简单。
- 在您的操作系统中启用通行密钥支持
- 下载密码管理器
- 选择支持存储通行密钥的密码管理器，例如 Proton Pass。
- 将通行密钥添加到您的密码管理器
- 从应用中直接导入现有通行密钥或创建新的通行密钥。
- 在支持的服务上注册通行密钥
- 当您注册或登录提供“使用通行密钥登入”选项的网站时，请选择该选项。
- 设置恢复方法
- 启用辅助设备以存储通行密钥副本，并记下服务提供的任何恢复短语。
常见问题
如果没有密码管理器，我可以使用通行密钥吗？
可以。大多数现代操作系统都会在本地存储通行密钥（Apple 设备上的 iCloud Keychain、Android 上的 Google Password Manager、Windows 上的 Windows Hello）。专用的密码管理器可以简化跨设备同步并提供额外的备份层，但使用通行密钥并不一定需要它。
我可以在旧设备上使用通行密钥吗？
通行密钥要求操作系统和浏览器支持 WebAuthn/FIDO2 标准。现代平台 (iOS 15 及以上、Android 14 及以上、最新版 macOS、Windows 10 1903 及以上，以及保持最新版本的 Chrome/Edge/Firefox/Safari) 开箱即用。较旧的手机、旧版浏览器或运行 iOS 15 之前版本/Android 13 的设备缺乏该支持，因此你将无法在这些设备上使用通行密钥。
通行密钥与物理令牌有什么区别？
通行密钥是已存储在设备上或密码管理器中并跨设备安全同步的凭证。物理令牌（例如 YubiKey）是一种独立的硬件密钥，需要插入您的设备。物理令牌不会将私钥存储在主机设备上，这提供了隔离性，但需要您随身携带令牌并管理备份。两种方式都提供无密码、防网络钓鱼的身份验证，但通行密钥优先考虑便利性和同步，而物理令牌优先考虑硬件隔离。
我可以在 Windows 计算机上使用通行密钥吗？
可以，较新的 Windows 10/11 版本通过 Windows Hello 支持通行密钥。在设置中启用“无密码登录”后，你可以通过指纹、面部识别或解锁已存储在可信平台模块 (TPM) 中的私钥的 PIN 进行注册和身份验证。TPM 是内置于大多数现代计算机、笔记本电脑和某些平板电脑中的微型防篡改芯片，其用途是为安全关键操作提供硬件信任根。
如果我丢失了手机会怎样？
如果您的手机保存着通行密钥的唯一副本，您将需要预先配置的备份方法来恢复访问权限。这通常是另一台设备、一个密码管理器，或服务提供的恢复短语。如果没有备份，您将不得不遵循该服务的帐户恢复流程。
