苹果、谷歌和微软让通行密钥跨设备、跨平台同步

到 2022 年，密码已成为互联网上记录最充分的安全漏洞：据 TechCrunch 援引 Verizon 年度数据泄露报告，弱密码和易猜密码参与了超过 80% 的数据泄露事件。FIDO 联盟和 W3C 自 2018 年起就有了技术答案——WebAuthn，它用用户设备上生成的密钥对为每个网站签名，因此服务器不持有任何值得窃取的秘密，钓鱼页面也一无所获。然而，无密码登录仍只是企业安全密钥的小众领域。

阻碍在于流程，而非密码学。一个 FIDO 凭证只存在于一台设备上，每换一部新手机或新笔记本电脑，都得逐个网站重新注册，因此拥有三台设备的普通人根本不会去折腾。2022 年 5 月 5 日世界密码日，苹果、谷歌和微软联合承诺在一年内解决这个问题：通行密钥将在用户的设备间同步，手机可以为附近的电脑上的应用登录，整套机制将跨 macOS/Safari、Android/Chrome 和 Windows/Edge 工作——一个 iPhone 通行密钥可以登录 Windows PC 上的 Chrome。

两个月后，在 WWDC 上，苹果将通行密钥引入 iOS 16 和 macOS Ventura 测试版，甚至为这项功能配了图标。2022 年 8 月，微软身份部门副总裁 Alex Simons 确认了第三块拼图：三家公司都将使用普通名词“passkey”——而非“FIDO 认证”——这样普通用户无论拿着谁的设备，遇到的都是同一个名称。没有人把这个词注册为品牌。

为什么这能奏效：这三家竞争对手并不拥有 FIDO 标准，但它们拥有其分发渠道——操作系统、浏览器以及已存在于数十亿设备上的凭证云。一次同步的跨平台承诺，把一个停滞了四年的协议变成了人们真正会接触到的功能。CISA 局长 Jen Easterly 公开称赞此举提升了网络安全基线。

像密码一样同步凭证——同时保持防钓鱼能力

旧的 FIDO 部署模式要求逐设备、逐网站重新注册，没有任何多设备消费者会这么做；云同步将这一成本降为零，同时保留了抗钓鱼能力。

三家平台厂商同时承诺，因此没有用户面临专有的无密码孤岛——孤岛问题正是扼杀早期单一厂商方案的原因。

将“passkey”作为普通名词达成一致，为这一标准提供了单一的面向消费者的名称；技术标准的最后一公里是词汇。

将手机用作漫游认证器，意味着较旧的笔记本电脑无需购买硬件安全密钥即可采用。

当一项标准停滞时，要看注册流程，而不是规范。2018 年的协议已经完成；2022 年真正重要的是同步、一次联合发布和一个朴素的名称。分发渠道才是护城河。

苹果在 WWDC 2022 上演示了通行密钥，并于当年夏天在 iOS 16 和 macOS Ventura 测试版中发布；谷歌表示 Android 开发者工具将在“2022 年底前后”开放；微软承诺“在不久的将来”支持通过手机通行密钥登录微软账户。到 2022 年 8 月，三家还就“passkey”这一名称达成一致，CISA 局长称这一联合承诺是提升美国安全基线的里程碑。