使用通行密钥实现无密码登录

通行密钥

简介

通行密钥是一种更安全、更便捷的登录方式，可作为密码登录的替代方法。借助通行密钥，用户可以使用生物识别传感器（例如指纹或人脸识别）、PIN 码或图案登录应用和网站，而无需记住和管理密码。

开发者和用户都讨厌密码：密码会给用户带来糟糕的体验、阻碍转换过程，并且会给用户和开发者带来安全责任。Android 和 Chrome 中的 Google 密码管理工具可通过自动填充功能减少麻烦；对于希望进一步提高转换和安全性的开发者而言，通行密钥和身份联合是行业的现代方法。

通行密钥只需一步即可满足多重身份验证要求，替换密码和动态密码（例如 6 位数短信验证码），从而针对钓鱼式攻击提供强大的保护，并避免短信或基于应用的一次性密码的用户体验。由于通行密钥是标准化的，因此您只需实现一次即可跨用户的所有设备、不同的浏览器和操作系统提供无密码体验。

通行密钥更简单：

  • 用户可以选择用于登录的帐号。无需输入用户名。
  • 用户可以使用设备的屏幕锁定功能（如指纹传感器、人脸识别或 PIN 码）进行身份验证。
  • 创建并注册通行密钥后，用户可以无缝切换到新设备，并立即使用该设备，而无需重新注册（与传统生物识别身份验证不同，传统生物识别身份验证需要在每台设备上设置）。

通行密钥更安全：

  • 开发者只会将公钥（而非密码）保存到服务器，这意味着不法分子入侵服务器的价值要低得多，而在发生泄露时，要执行的清理工作要少得多。
  • 通行密钥可保护用户免受钓鱼式攻击。通行密钥仅适用于用户注册的网站和应用；用户不会被诱骗在欺骗性网站上进行身份验证，因为验证会由浏览器或操作系统负责处理。
  • 通行密钥可以降低发送短信的成本，使它们成为一种更安全、更经济高效的双重身份验证方式。

什么是通行密钥？

通行密钥是一种与用户账号以及网站或应用绑定的数字凭据。通行密钥可让用户进行身份验证，而无需输入用户名或密码，或提供任何其他身份验证因素。此技术旨在取代密码等传统身份验证机制。

当用户想要登录使用通行密钥的服务时，其浏览器或操作系统将帮助他们选择并使用正确的通行密钥。体验方式与现在保存的密码类似。为确保只有合法所有者才能使用通行密钥，系统会要求对方解锁其设备。这可以通过生物识别传感器（例如指纹或人脸识别）、PIN 码或图案执行。

若要为网站或应用创建通行密钥，用户必须先向该网站或应用注册。

  1. 转到相应应用，然后使用现有登录方法登录。
  2. 点击创建通行密钥按钮。
  3. 检查所存储的与新通行密钥相关的信息。
  4. 使用设备屏幕解锁功能创建通行密钥。

当他们返回此网站或应用并登录时，可以采取以下措施：

  1. 进入相应应用。
  2. 点按帐号名称字段即可在自动填充对话框中显示通行密钥列表。
  3. 选择孩子的通行密钥。
  4. 使用设备屏幕解锁功能完成登录。

用户的设备根据通行密钥生成签名。此签名用于验证源站和通行密钥之间的登录凭据。

无论通行密钥存储在何处，用户都可以使用通行密钥在任何设备上登录服务。例如，在手机上创建的通行密钥可用于在另一台笔记本电脑上登录网站。

通行密钥是如何运作的？

通行密钥旨在通过操作系统基础架构使用，该基础架构可让通行密钥管理器创建、备份密钥，并使通行密钥可供在该操作系统上运行的应用使用。在 Android 上，通行密钥可存储在 Google 密码管理工具中，该管理工具会在用户登录同一 Google 帐号的用户 Android 设备之间同步通行密钥。通行密钥会在同步之前在设备上进行安全加密，并且需要在新设备上解密。使用 Android OS 14 或更高版本的用户可以选择将其通行密钥存储在兼容的第三方密码管理工具中。

用户不必仅在可用的设备上使用通行密钥 - 登录笔记本电脑时，可以使用手机上提供的通行密钥，即使通行密钥未同步到笔记本电脑上，只要手机靠近笔记本电脑且用户在手机上批准登录即可。由于通行密钥是基于 FIDO 标准构建的，因此所有浏览器都可以采用通行密钥。

例如，用户在其 Windows 机器上通过 Chrome 浏览器访问 example.com。此用户之前曾在其 Android 设备上登录过 example.com 并生成了一个通行密钥。在 Windows 计算机上，用户选择使用另一部设备上的通行密钥登录。这两台设备将建立连接，并提示用户批准在 Android 设备上使用其通行密钥（例如，搭配使用指纹传感器）。执行此操作后，用户会在 Windows 计算机上登录账号。请注意，通行密钥本身不会转移到 Windows 计算机，因此 example.com 通常会主动提供在该计算机上创建新的通行密钥。这样，用户下次想要登录时，就无需使用该手机。如需了解详情，请参阅使用手机登录。

谁在使用通行密钥？

许多服务已经在他们的系统中使用通行密钥。

亲自尝试

您可以在此演示中试用通行密钥：https://passkeys-demo.appspot.com/

隐私注意事项

  • 因为使用生物识别功能登录可能会让用户误以为这是在向服务器发送敏感信息。实际上，生物识别材料永远不会离开用户的个人设备。
  • 通行密钥本身不允许在不同网站之间跟踪用户或设备。同一个通行密钥绝不会用于多个网站。通行密钥协议经过精心设计，不会将与网站共享的信息用作跟踪矢量。
  • 通行密钥管理器可防止通行密钥遭到未经授权的访问和使用。例如，Google 密码管理工具会对通行密钥密文进行端到端加密。只有用户可以访问和使用它们；即使它们已备份到 Google 的服务器，Google 也无法使用它们来模拟用户。

安全注意事项

  • 通行密钥使用公钥加密。公钥加密可以降低潜在数据泄露带来的威胁。当用户通过网站或应用创建通行密钥时，系统会在用户设备上生成公钥-私钥对。网站只会存储公钥，但这样做对攻击者而言毫无用处。攻击者无法从存储在服务器上的数据派生用户的私钥，而这是完成身份验证所必需的。
  • 由于通行密钥已与网站或应用的身份绑定，因此可安全防范钓鱼式攻击。浏览器和操作系统可确保通行密钥只能用于创建通行密钥的网站或应用。这样，用户就不必负责登录正版网站或应用。

接收通知

订阅 Google 通行密钥开发者简报，以获取有关通行密钥更新的通知。

后续步骤