从密码到无密码的认证演进

发布时间:2026-02-22 09:27

密码这套机制的问题不是不够安全，而是人扛不住：复杂密码记不住，简单密码挡不住撞库。无密码认证（passwordless）的出现，本质是承认了这个现实。 passkey 的直觉理解 passkey（通行密钥）把身份凭证从"你记住的字符串"换成"设备里的一对密钥"。注册时设备生成私钥留在本地，公钥交给网站；登录时网站发一道挑战题，设备用私钥签名作答，私钥从不离开设备。钓鱼网站偷不到密码——因为根本没有密码可偷，签名只对正确的域名有效，假站点要不来这个签名。 部署走到哪一步 这几年主流操作系统和浏览器已普遍支持 passkey，不少大型互联网服务的登录页陆续出现"使用通行密钥"选项。企业侧的推进慢一些，卡点在管理：员工设备丢失后的凭证恢复流程、跨设备同步策略、与现有账号体系的对接，都要重新设计。技术成熟度不是瓶颈，流程配套才是。 过渡策略怎么定 全量切换不现实，务实的路线是分阶段。高价值账户先行：管理员、财务、运维这些账号先启用通行密钥或硬件密钥，FIDO2 安全密钥插上 USB 即用，成本低见效快。其余账户保留密码但叠加多因素认证（MFA），短信验证码换成验证器应用，抗换卡劫持。普通账户再逐步引导注册通行密钥，密码作为兜底保留。每一步都留退出通道，避免员工被锁在门外影响业务。 给企业的建议 别等"完全无密码"的那天，先把 MFA 覆盖率提上去，这是投入产出比最高的一步；再挑一个内部系统试点通行密钥，把恢复流程跑顺。密码不会一夜消失，但每多一个被通行密钥替代的账户，钓鱼邮件的成功率就降一截。 认证方式的迁移是场慢功夫，方向已经明确，剩下的只是把流程磨顺。