Apple、Google 與 Microsoft 讓通行金鑰跨裝置、跨平台同步

到了 2022 年，密碼已是網路上記錄最詳盡的安全漏洞：據 TechCrunch 引述 Verizon 年度資料外洩報告，薄弱且易於猜測的憑證涉及超過 80% 的資料外洩事件。FIDO 聯盟與 W3C 自 2018 年起便有技術解答——WebAuthn，它以在使用者裝置上產生的金鑰對為每個網站簽章，因此伺服器不持有任何值得竊取的秘密，被釣魚的頁面也一無所獲。然而無密碼登入仍只是企業安全金鑰的利基應用。

真正的阻礙在於流程安排，而非密碼學。FIDO 憑證只存在於單一裝置，每換一支新手機或新筆電就得逐站重新註冊，因此擁有三台裝置的一般人根本不會費心去做。2022 年 5 月 5 日世界密碼日當天，Apple、Google 與 Microsoft 共同承諾在一年內解決這個問題：通行金鑰將在使用者的各裝置間同步，手機可為鄰近電腦上的應用程式登入，而且整套機制將橫跨 macOS/Safari、Android/Chrome 與 Windows/Edge 運作——iPhone 上的通行金鑰能登入 Windows PC 上的 Chrome。

兩個月後，在 WWDC 上，Apple 將通行金鑰納入 iOS 16 與 macOS Ventura 測試版，甚至為這項功能設計了圖示。2022 年 8 月，Microsoft 身分識別副總裁 Alex Simons 確認了第三塊拼圖：三家公司都將採用「passkey」這個普通名詞——而非「FIDO 驗證」——如此一來，無論使用者手持誰家的裝置，一般人都只會遇到同一個名稱。沒有人把這個詞註冊為品牌。

為何奏效：這三家競爭對手並不擁有 FIDO 標準，但他們掌握其通路——早已存在於數十億裝置上的作業系統、瀏覽器與憑證雲。同步的跨平台承諾，把一個停滯四年的協定，變成使用者真會拿到手的功能。CISA 局長 Jen Easterly 公開讚許此舉提升了網路安全的基準。

像密碼一樣同步憑證——同時保持防釣魚能力

舊的 FIDO 部署模式要求逐裝置、逐網站重新註冊，沒有任何多裝置消費者會這麼做；雲端同步把這項成本降到零，同時保留防釣魚能力。

三家平台廠商同時承諾，因此沒有使用者會面對專屬的無密碼孤島——孤島問題正是扼殺早期單一廠商方案的元凶。

同意以「passkey」作為普通名詞，讓這項標準有了單一面向消費者的名稱；技術標準的最後一哩路就是詞彙。

以手機作為漫遊驗證器，意味著較舊的筆電無須購買硬體安全金鑰也能採用。

當一項標準停滯時，要看的是註冊流程，而非規格。2018 年的協定早已完成；2022 年真正重要的是同步、一次聯合發布，以及一個樸素的名稱。通路才是護城河。

Apple 在 WWDC 2022 展示了通行金鑰，並於當年夏季在 iOS 16 與 macOS Ventura 測試版中推出；Google 表示 Android 開發者工具將「在 2022 年底前」開放；Microsoft 承諾「在不久的將來」可透過手機通行金鑰登入 Microsoft 帳戶。到了 2022 年 8 月，三家也已就「passkey」這個名稱達成一致，CISA 局長稱這項聯合承諾是提升美國安全基準的里程碑。