使用密钥进行无密码登录

通行密钥

简介

通行密钥是一种更安全、更便捷的替代密码的方法。借助通行密钥，用户可以使用生物识别传感器（例如指纹或人脸识别）、PIN 码或图案登录应用和网站，而无需记住和管理密码。

开发者和用户都讨厌密码：它们会给用户带来糟糕的体验，增加转化障碍，并给用户和开发者带来安全责任。Android 和 Chrome 中的 Google 密码管理工具可通过自动填充功能减少麻烦；对于希望进一步提高转换和安全性的开发者而言，通行密钥和身份联合是行业的现代化方法。

通行密钥只需一步即可满足多重身份验证要求，替换密码和动态密码（例如 6 位数短信验证码），从而针对钓鱼式攻击提供强有力的保护，并避免短信或基于应用的一次性密码带来的用户体验问题。由于通行密钥是标准化的，因此只需完成一次实现，即可在用户的所有设备上、通过不同的浏览器和操作系统获得无密码的体验。

通行密钥更加简单：

  • 用户可以选择要登录的帐号。无需输入用户名。
  • 用户可以使用设备的屏幕锁定功能（例如指纹传感器、人脸识别或 PIN 码）进行身份验证。
  • 创建并注册通行密钥后，用户可以无缝切换到新设备，并立即使用该设备，而无需重新注册（与要求在每台设备上设置的传统生物识别身份验证不同）。

通行密钥更安全：

  • 开发者只会将公钥（而不是密码）保存到服务器，这意味着作恶方入侵服务器的价值要低得多，而且在发生数据泄露时，要进行清理的清理工作要少得多。
  • 通行密钥可保护用户免受钓鱼式攻击。通行密钥仅适用于用户注册的网站和应用；用户不会被诱骗在欺骗性网站上进行身份验证，因为验证是由浏览器或操作系统负责处理。
  • 通行密钥可以降低发送短信的成本，使其成为一种更安全、更经济高效的双重身份验证方法。

什么是通行密钥？

通行密钥是一种数字凭据，与用户帐号和网站或应用关联。通行密钥可让用户进行身份验证，而无需输入用户名或密码，或提供任何其他身份验证因素。此技术旨在取代密码等传统身份验证机制。

当用户想要登录使用通行密钥的服务时，他们的浏览器或操作系统将帮助他们选择和使用正确的通行密钥。使用体验与目前保存的密码类似。为确保只有合法所有者才能使用通行密钥，系统将要求他们解锁设备。这可以通过生物识别传感器（例如指纹或人脸识别）、PIN 码或图案来执行。

若要为网站或应用创建通行密钥，用户必须先向该网站或应用注册。

  1. 转到应用并使用现有的登录方法登录。
  2. 点击创建通行密钥按钮。
  3. 检查新通行密钥中存储的信息。
  4. 使用设备屏幕解锁功能创建通行密钥。

当他们返回此网站或应用登录时，可以按以下步骤操作：

  1. 转到相应应用。
  2. 点按帐号名称字段即可在自动填充对话框中显示通行密钥列表。
  3. 选择其通行密钥。
  4. 使用设备屏幕解锁功能完成登录。

用户的设备根据通行密钥生成签名。此签名用于验证源站和通行密钥之间的登录凭据。

无论通行密钥的存储位置如何，用户都可以使用通行密钥在任何设备上登录服务。例如，在手机上创建的通行密钥可用于在另一台笔记本电脑上登录网站。

通行密钥是如何运作的？

通行密钥旨在通过操作系统基础架构使用，该基础架构可让通行密钥管理器创建、备份并在该操作系统上运行的应用提供通行密钥。在 Android 上，通行密钥可存储在 Google 密码管理工具中，后者可在用户登录同一 Google 帐号的用户 Android 设备之间同步通行密钥。通行密钥会在同步之前在设备上进行安全加密，并且需要在新设备上解密。使用 Android OS 14 或更高版本的用户可以选择将其通行密钥存储在兼容的第三方密码管理工具中。

用户并非只能在可以使用通行密钥的设备上使用通行密钥。只要手机位于笔记本电脑附近且用户批准了在笔记本电脑上登录，就可以在登录笔记本电脑时使用手机上提供的通行密钥，即使通行密钥未同步到笔记本电脑上也是如此。由于通行密钥是基于 FIDO 标准构建的，因此所有浏览器都可以采用这些标准。

例如，用户在 Windows 计算机上的 Chrome 浏览器中访问 example.com。此用户之前已在其 Android 设备上登录过 example.com 并生成了通行密钥。在 Windows 计算机上，用户选择使用另一部设备上的通行密钥登录。这两部设备会连接，并提示用户批准在 Android 设备上使用其通行密钥（例如，使用指纹传感器）。执行此操作后，用户会在 Windows 计算机上登录。请注意，通行密钥本身不会转移到 Windows 机器上，因此 example.com 通常会主动主动在该设备上创建新通行密钥。这样，用户下次想要登录时，就不需要使用该手机了。如需了解详情，请参阅使用手机登录。

谁在使用通行密钥？

许多服务已经在他们的系统中使用通行密钥。

亲自尝试

您可以尝试以下演示中的通行密钥：https://passkeys-demo.appspot.com/

隐私注意事项

  • 因为使用生物识别功能登录可能会让用户误以为这是在向服务器发送敏感信息。实际上，生物识别材料绝不会离开用户的个人设备。
  • 通行密钥本身不允许在不同网站之间跟踪用户或设备。系统绝不会将同一通行密钥用于多个网站。通行密钥协议经过精心设计，因此与网站共享的信息无法用作跟踪矢量。
  • 通行密钥管理器可防止通行密钥遭到未经授权的访问和使用。例如，Google 密码管理工具会对通行密钥密钥进行端到端加密。只有用户才能访问和使用它们。即使这些密钥已备份到 Google 的服务器，Google 也无法用它们来冒充用户。

安全注意事项

  • 通行密钥使用公钥加密。公钥加密可降低潜在数据泄露带来的威胁。当用户通过网站或应用创建通行密钥时，这会在用户的设备上生成一个公钥-私钥对。网站只会存储公钥，但这本身对攻击者毫无用处。攻击者无法从存储在服务器上的数据推导用户的私钥，而这是完成身份验证所必需的。
  • 由于通行密钥与网站或应用的身份绑定，因此可以保护它们免受钓鱼式攻击。浏览器和操作系统会确保通行密钥只能用于创建通行密钥的网站或应用。这样一来，用户就不必再负责登录正版网站或应用。

接收通知

订阅 Google 通行密钥开发者简报，以接收关于通行密钥更新的通知。

后续步骤