通行密钥（Passkey）是什么？与密码的区别和设置、使用步骤

通行密钥是什么

通行密钥（Passkey）是代替密码用来登录的“钥匙”。设置后，设备里会保存“私钥”，服务那边保存“公钥”。每次登录时，设备用私钥对服务发来的数据进行签名，服务再用公钥验证这个签名。私钥本身不会离开设备。

对使用者来说，操作只有“人脸识别、指纹识别或解锁屏幕”。不需要输入任何文字，所以既不用记，也不用写下来。生物识别只用于解锁设备，人脸和指纹数据不会被发送给服务。

与密码、两步验证的区别

值得注意的是“钓鱼网站”这一行。即使设置了两步验证，如果被引导到钓鱼网站并连验证码也输入了，账号仍可能被攻破。通行密钥与注册时网站的域名绑定，在外观一模一样但域名不同的页面上无法使用。即使人看不出真假，机制也会拦住。这正是决定性的区别。

为什么能防钓鱼

• 与注册的域名绑定：在钓鱼网站的域名下，根本不会调用通行密钥
• 私钥不会被发送：即使通信被窃听，传过去的也只是每次都不同的签名
• 服务器上不保存秘密：即使服务方发生泄露，也无法用公钥登录
• 从结构上就不会重复使用：每个服务都会生成不同的钥匙
• 不依赖人的判断：即使看不出网址有问题，条件不符就不会运行

密码的事故，大多始于“不小心输入了”。从钓鱼邮件跳到假的登录页面，习惯性地输入。通行密钥把“输入”这个动作本身去掉了。从减少疏忽空间的意义上说，它比依赖注意力的对策更可靠。

设置通行密钥的步骤

1. 1

   确认是否支持

   在账号设置的安全相关项目中，看看有没有“通行密钥”“无密码登录”之类的选项。没有的话，说明该服务还不支持。

2. 2

   决定保存位置

   选择保存在设备上，还是保存在密码管理器中。如果要在多台设备上使用，选择能同步的方式以后会更省事。

3. 3

   创建并验证

   按照屏幕提示，用人脸识别、指纹识别或 PIN 码中的一种进行身份验证。此时私钥会保存到设备中。

4. 4

   当场重新登录试一下

   先退出一次，确认能用通行密钥登录。只设置不测试，就无法发现需要时用不了的情况。

5. 5

   保留密码和恢复方式

   为了应对无法使用通行密钥的情况，现有的密码和备用验证码不要删除，妥善保管。

请不要跳过最后一步。如果丢了设置通行密钥的设备，又没有保留密码和恢复码，就会无法登录账号。通行密钥是让日常登录更轻松的东西，并不能连恢复方式也一并取代。

通行密钥保存在哪里

手机和电脑是不同厂商的话，保存到密码管理器里会少很多麻烦。支持同步的话，在电脑上创建的通行密钥也能在手机上用。选择了不同步的方式时，需要在每台设备上分别添加通行密钥。

开始使用前需要知道的注意事项

• 不要在共用设备上创建：在家人共用的电脑上创建通行密钥，能解锁屏幕的人都能登录
• 换手机前先确认：如果设置为不同步，在处理掉旧设备之前，请先在新设备上添加通行密钥
• 公司的设备按公司规定来：工作账号可能被管理员的设置所限制
• 支持情况因服务而异：同一个服务，App 和网页版的表现也可能不同
• 不要让密码一直很弱：既然两者并用，密码就会成为突破口

最后一项很容易被忽视。即使设置了通行密钥，如果账号里还留着又旧又短的密码，攻击者就会冲着它来。在两者并用期间，也请把密码更新为足够长的。使用密码生成工具，可以指定长度和字符种类，一次生成多个难以被猜到的字符串。生成全部在浏览器内完成，不会发送到服务器。并用的密码怎么定，见安全密码的设置方法；不支持通行密钥的服务应选择哪种验证方式，见两步验证的优先顺序。

常见问题

通行密钥和密码有什么区别？

密码是你和服务共享同一个字符串的机制，一旦泄露谁都能登录。通行密钥是在设备上放私钥、在服务那边放公钥的机制，私钥不会离开设备。即使服务方的信息泄露也无法用来登录，而且在注册的域名以外无法使用，所以也不会发生在钓鱼网站上输入而被盗的情况。

设置了通行密钥的设备丢了怎么办？

如果保存在支持同步的位置（系统的同步功能或密码管理器），在新设备上就能使用同一个通行密钥。如果只保存在那台设备上，就无法再使用，需要用密码或备用验证码等其他恢复方式登录，再在新设备上重新创建通行密钥。前提是不要删除恢复方式。

通行密钥会把生物识别信息发送给服务吗？

不会。人脸识别和指纹识别只用于解锁设备、让私钥可以使用。传给服务的只有用这把钥匙生成的签名。生物识别信息留在设备里。

用了通行密钥，可以删除密码吗？

暂时请不要删除。因为还有不支持通行密钥的页面，以及无法使用通行密钥的情况。请把密码作为恢复方式保管，并用期间把它更新为足够长的密码。将来服务方允许删除密码时，也请先确认是否已准备好其他恢复方式再做决定。