無密碼驗證的未來
通行密鑰已在主要平台上取代密碼。生物特徵和硬件令牌日趨成熟。密碼時代正在終結——了解接下來會發生什麼以及如何做好準備。
通行密鑰已在主要平台上取代密碼。生物特徵和硬件令牌日趨成熟。密碼時代正在終結——了解接下來會發生什麼以及如何做好準備。
通行密鑰是自雙重驗證引入以來驗證安全領域最重大的發展。由 Apple、Google、Microsoft 和 FIDO 聯盟支持，通行密鑰使用公鑰密碼學驗證用戶，而無需向伺服器傳輸任何機密，也不以可被竊取的方式儲存。當您為服務創建通行密鑰時，您的裝置生成一對加密密鑰：公鑰被發送至服務的伺服器，私鑰安全地儲存在您裝置的硬件中（iPhone 的安全隔離區、Android 的 Titan 晶片、Windows Hello TPM）。
登入時，服務發送一個加密挑戰。您的裝置使用儲存的私鑰簽署挑戰——但前提是您使用生物特徵（Face ID、指紋）或裝置 PIN 驗證您是裝置所有者。簽署的回應被發回伺服器，伺服器使用儲存的公鑰驗證它。在整個過程中，沒有任何機密（密碼、生物特徵數據或私鑰）透過網絡傳輸，也不以可在洩露中被竊取的方式儲存在伺服器上。即使伺服器完全遭到入侵，攻擊者也只能獲得公鑰，這些對驗證毫無用處。
通行密鑰現已可在 Google、Apple、Microsoft、PayPal、eBay、WhatsApp、GitHub 和數百個其他服務上使用。主要作業系統——iOS 16+、Android 9+、Windows 11 和 macOS Ventura+——都原生支持通行密鑰。在 2026 年，採用正在迅速加速：大多數主要消費者服務要麼已經支持通行密鑰，要麼已宣布即將支持。對於香港用戶，包括多個銀行應用程式和政府入口網站在內的主要本地服務正處於通行密鑰推出的各個階段。
YubiKey、Google Titan Key 和 SoloKeys 等硬件安全金鑰是實現 FIDO2/WebAuthn 標準的實體裝置——與通行密鑰相同的底層技術，但採用專用硬件形式。當您向服務註冊硬件金鑰時，後續登入需要您實體插入或輕觸金鑰，這提供了實體持有的加密證明。即使攻擊者擁有您的密碼並與您的電腦位於同一實體位置，沒有實體持有您的金鑰，他們也無法登入。
硬件金鑰對針對高價值個人的複雜網絡釣魚攻擊特別有效。包括實時代理攻擊（實時將憑證轉發至合法網站）在內的高級網絡釣魚技術，可以擊敗基於 TOTP 的雙重驗證。使用 FIDO2 的硬件金鑰對這種攻擊免疫，因為驗證與特定域名綁定——金鑰拒絕對不匹配已註冊域名的域名進行驗證，因此即使是外觀完美的網絡釣魚網站也會觸發驗證失敗。Google 的進階保護計劃要求使用硬件金鑰，有效消除了已登記用戶的帳戶被奪取問題。
對大多數香港用戶而言，硬件金鑰並非必要——通行密鑰和基於驗證器應用程式的雙重驗證已提供出色的保護。然而，對於可能是複雜、資源充足的攻擊者目標的個人和機構——高管、政治人物、新聞工作者、金融服務專業人士和大型企業 IT 管理員——硬件金鑰代表當前帳戶保護的黃金標準，值得額外的投資和操作開銷。
向無密碼驗證的轉變不會一蹴而就。截至 2026 年，通行密鑰在許多主要平台上可用，但尚未普及。較舊的服務、小眾應用程式和許多本地香港平台仍依賴傳統密碼。過渡期——密碼和通行密鑰共存——可能持續五到十年，需要用戶同時管理兩個系統。在此期間，密碼管理器對尚未遷移至通行密鑰的眾多帳戶仍然至關重要。
當服務提供通行密鑰註冊時，立即的問題是是否切換或在通行密鑰旁保留密碼。建議的方法是註冊通行密鑰，同時在保險庫中保留強的管理器生成的密碼作為備用。這在正常使用時提供通行密鑰登入的便利性和安全性，同時在通行密鑰不可用時（裝置遺失或更換）保留登入能力。隨著通行密鑰生態系統成熟、跨裝置同步變得更加可靠，可以逐步淘汰個別服務的密碼備用選項。
跨裝置通行密鑰同步是最重要的實際考量。Apple 透過 iCloud Keychain 在 Apple 裝置間同步通行密鑰。Google 密碼管理器在 Android 和 Chrome 間同步通行密鑰。1Password 和 Bitwarden 均在其高級套餐中實現了通行密鑰同步，支持跨平台通行密鑰使用——例如，Apple 用戶可以在運行 Chrome 的 Windows 機器上使用其通行密鑰。對於在不同平台間切換的用戶（iOS 手機和 Windows 電腦），使用密碼管理器的通行密鑰同步比依賴單一平台的原生同步更靈活。
通行密鑰代表著重大的飛躍，但並非最終目的地。驗證領域的研究和開發在多個方面繼續推進。持續驗證系統使用行為生物特徵——打字模式、滑鼠移動、步態分析（在移動設備上）和裝置使用模式——在整個工作階段期間持續驗證身份，而不僅僅是在登入時。這種方法能夠在合法驗證事件後發現未經授權的存取，儘管它引發了需要仔細平衡的重大隱私問題。
企業日益採用的零信任安全模型認為，在網絡或應用程式入口進行驗證是不夠的——每次存取每個資源的請求都必須基於情境（身份、裝置健康狀況、位置、時間、行為）進行單獨驗證和授權。在零信任模型中，您的憑證是眾多輸入之一；即使來自已知裝置的有效憑證，若情境異常也無法存取資源。這將安全模型從「已驗證的用戶是可信的」轉變為「信任必須持續獲得」。
對於香港的個人用戶，實際建議很簡單：現在在可用的地方採用通行密鑰，對所有剩餘帳戶使用強密碼管理器，在所有地方啟用雙重驗證，並保持對您使用的服務通行密鑰支持情況的關注。驗證安全性的改進是真正令人興奮的，對大多數用戶而言，過渡將感覺無縫——輕觸手機或臉部掃描，而不是輸入密碼。淨結果是以更少的摩擦實現了真正更好的安全性，這是驗證設計的終極目標。
