谷歌Passkey虽然看上去很美，但并非没有缺陷

在互联网中，密码无疑占据着十分重要的位置，毕竟它的存在保障了我们在网络上资产的安全。尽管密码对于任何人的重要性都极高，但奈何总有人对它漫不经心，以至于 "123456" 几乎年年都荣登年度最弱密码的称号。为此，谷歌等科技巨头联手搞了个 " 无密码 " 生态，目前谷歌也正在积极鼓励用户为账号设置 Passkey（通行密钥）功能，以实现 " 淘汰密码 " 的目标。

然而曾经为谷歌提供咨询服务的技术专家 Lauren Weinstein，近日却发文强烈批评他们推广 Passkey 的行为，并表示 Passkey 本身确实没有问题，但 Passkey 的中间认证环节却有着不可忽视的安全隐患。据悉，Lauren Weinstein 在相关文章中表示，如果在酒吧里有人偷窥你输入的设备密码、然后借机偷走你的手机，这样解锁手机后就可以使用所有保存的 Passkey。

想要了解为什么会有人认为 Passkey 不安全，首先自然需要了解 Passkey 到底是如何工作的。

密码作为一种安全防护手段，在信息技术逐步走向成熟的今天，如今已面临着失去效用的风险。无论互联网厂商如何苦心孤诣地劝导用户使用更复杂的密码，比如要求密码需要包含大小写英文字母、数字、字符，但密码被攻破的现象依旧层出不穷。

在算力成倍增加的情况下，现在就连大型企业也同样无法避免被黑客攻击，而互联网企业的数据库被攻破，进而导致大规模信息泄露的案例在过去十年间可以说是屡见不鲜。有鉴于此，寻求一个代替密码来完成对用户身份鉴权的工具，也成为了科技巨头们的一致期望。由于密码是一个证明 " 我是我 " 的工具，而要证明 " 我是我 " 其实并非只能依赖密码，指纹、虹膜等生物特质，以及 U 盾等实体设备就都可以实现。

谷歌的 Passkey 就是一个由一组密钥组成的登录验证文件，用户在注册 Passkey 后，只需输入自己的账户，然后使用手机或电脑的各种认证选项（如 PIN 码、指纹、面部识别等）即可登录，并且基于 FIDO 2/WebAuthn 标准的 Passkey 还支持跨平台使用。让而 FIDO2 则是由两个开放标准构建，分别是 FIDO 客户端身份验证协议 ( CTAP ) 和 W3C 标准 WebAuthn。

简单来说，就是 WebAuthn 定义了一个标准的 web API，并提供一个创建和管理公钥凭证的接口，可以与身份验证验证器通信。

Passkey 的工作机制，就是在用户注册时生成一个新的密钥对，其中包含一个私钥和一个公钥。私钥会存储在设备上，并与在线服务的 ID 和域关联，而公钥则存储在谷歌服务器的在线服务数据库中，当用户试图访问在线服务时，谷歌就会使用 API 与身份验证者一起验证用户凭据。

问题就出在了这里，Passkey 的本质是使用用户手机的指纹、面容，或 Windows Hello 验证、密码管理器，来代替谷歌账号的密码。那么如果作为中间介质的手机和 PC 本身就不安全呢？其实这并非杞人忧天，毕竟手机感染恶意软件、PC 被木马攻击可以说是司空见惯的事情。

如果手机本身真的无懈可击，谷歌又为什么会为 Android 系统推出月度安全补丁，甚至要求手机厂商必须经常为智能手机推送安全更新呢。

而 Passkey 的另外一个问题，就是一旦 Passkey 本身丢失，将会导致用户被谷歌服务拒之门外。

根据谷歌方面的说法，  Passkey 在 Windows、Android、iOS 上是不能转移、修改和读取的，也就是说一旦生成，这个 Passkey 就会绑定在对应的设备上，如果重装系统就需要重新生成并绑定 Passkey。然而，并非所有的用户在创建 Passkey 时都会设置备用方案，那么一旦重装系统或丢失手机后没有了 Passkey，就会出现无法访问账户的情况，并且谷歌也无法提供额外的账户恢复办法。

有这样的担忧其实也很正常，毕竟确实有大量的用户还在使用着 "123456" 或 "password" 来作为密码。不过即便有一定的风险存在，Passkey 的推广也相当有意义。因为现在的情况是在谷歌数以亿计的用户中，使用弱密码、并且在各种服务中使用同一套密码的现象过于泛滥，而 Passkey 在淘汰密码这件事上的重要性几乎无可替代。

或许在谷歌看来，淘汰已经落后于时代的传统密码所带来的收益，要远比 Passkey 可能存在的安全风险和用户使用体验下降带来的损失大得多。而且一旦 Passkey 迎来普及，用户因为弱密码而导致的个人隐私和财产损失就会大幅减少，所以完全没有必要因噎废食。

【本文图片来自网络】