不用记密码也能安全登录？认识 Passkey（通行密钥）

你可能已经在 Google、Apple 或其他网站看到过“创建通行密钥”的提示。它看起来只是多了一种登录按钮，背后却采用了不同于传统密码的身份验证方式。

一、Passkey 到底是什么？

Passkey 可以理解为保存在设备或密码管理器中的一把数字钥匙。

传统登录方式通常是：

1. 输入账号。
2. 输入密码。
3. 必要时再输入短信验证码。

使用 Passkey 时，通常只需要选择账号，然后通过指纹、面部识别或设备解锁 PIN 码确认身份。

它背后的原理是公钥密码学：

• 私钥： 保存在设备或受保护的凭据管理器中，用于证明身份。
• 公钥： 注册时提供给网站，由网站保存，用于验证登录签名。

登录时，网站发送一次性验证挑战，设备使用私钥生成签名，网站再用公钥验证。网站不需要保存你的登录私钥。

更重要的是，生物识别信息不会发送给网站。指纹和面部识别只是在本地帮助设备确认是你本人在操作。

二、为什么 Passkey 比传统密码更安全？

它有三个值得关注的优势。

1. 不容易被钓鱼网站骗走

Passkey 与注册时的网站或应用身份绑定。例如，为真正的 example.com 创建的通行密钥，不能直接拿到仿冒网站上使用。

这意味着，即使你误入外观相似的钓鱼页面，浏览器和系统也不会正常使用属于真实网站的 Passkey。

2. 不需要记住复杂密码

你不必为每个网站记忆一串不同的密码，只需要使用设备已经设置好的解锁方式即可。

3. 减少服务器密码泄露风险

网站保存的是公钥，而不是能够直接用于冒充你的私钥。即使网站数据库发生泄露，攻击者也不能仅凭公开的公钥完成正常登录。

不过，Passkey 并不意味着账号绝对安全。设备被恶意软件控制、密码管理器账户被盗，或者账号恢复流程存在漏洞，仍然可能带来风险。

三、如何创建自己的第一把 Passkey？

以支持通行密钥的 Google 账号或其他网站为例，基本操作流程如下：

1. 使用浏览器打开官方网站，并登录自己的账号。
2. 进入账号设置或安全设置。
3. 找到“通行密钥”“Passkeys”或类似选项。
4. 点击创建或添加通行密钥。
5. 按照系统提示，使用指纹、面部识别或设备 PIN 码完成确认。
6. 创建成功后，检查账号安全设置，确认通行密钥已经添加。

不同网站的菜单名称和操作顺序可能有所不同。有些服务还会要求你先进行一次密码验证。

四、动手体验：用手机登录电脑上的网站

Passkey 还有一个很方便的功能：不一定要把通行密钥保存在当前电脑上。

假设你已经在手机上为某个网站创建了 Passkey，现在想在笔记本电脑上登录。

可以这样操作：

1. 在电脑浏览器中打开该网站的官方网站。
2. 点击使用通行密钥登录。
3. 如果电脑没有找到本地密钥，选择使用其他设备登录。
4. 根据浏览器提示，用手机扫描电脑屏幕上的二维码。
5. 在手机上选择对应账号，并通过设备解锁确认。
6. 验证成功后，电脑浏览器就可以完成登录。

这种跨设备登录方式通常会利用蓝牙确认设备之间的物理接近，并通过安全通信完成认证，不需要把私钥直接复制到电脑上。

五、使用 Passkey 前，记住这几个安全细节

第一，确认保存位置。

Passkey 可以保存在手机、电脑、系统凭据管理器或兼容的第三方密码管理器中。有些可以通过经过加密保护的服务同步到其他设备，有些则绑定单一设备。

第二，提前考虑设备丢失。

不要只在一台设备上保存重要账号的唯一登录凭据。条件允许时，可以在其他可信设备或兼容的密码管理器中建立备用通行密钥。

第三，保护密码管理器账户。

如果 Passkey 依赖云端同步，就要认真保护对应账户，开启可靠的额外安全验证，并妥善保存账户恢复信息。

第四，不要随意关闭其他恢复方式。

在确认新登录方式可以正常使用之前，保留网站提供的合理备用验证方式。设备丢失或更换时，账号恢复能力尤其重要。

六、从哪些账号开始尝试？

建议优先检查自己经常使用、且支持 Passkey 的重要账号，例如：

• 主要邮箱账号。
• 云存储账号。
• 常用社交平台。
• 密码管理器账号。
• 支持通行密钥的金融或购物服务。

不必一次性更换所有登录方式，可以先挑选一个不影响日常工作的账号进行体验。

总结： Passkey 正在让网络登录从“记住密码”转向“用可信设备证明身份”。先为一个重要账号创建通行密钥，再检查备用设备和恢复方式，你就能在提高登录便利性的同时，为日常数字生活增加一道安全防线。