在互联网上，我们普遍通过密码来管理、保护我们的个人资料，但是无论密码再怎么复杂、再怎么加密，都还是有可能因为疏忽遭到外流，甚至破解。
近几年，包含 Apple、Google… 等大厂都在推动无密码的 PassKey 计划，通过生物辨识的方式取代密码的输入、传输、验证。
那么这个 PassKey 到底是什么？ 是利用什么原理来达成无密码还可以验证的效果？ 又该如何使用？
什么是无密码验证 PassKey？
PassKey 是一种新型的安全验证方法，使用 PassKey 的验证方式，就不需要再使用传统的文字密码。
当你使用 PassKey 注册或登录网站时，你的设备会产生一组专属的密钥，这组密钥非常安全，只有你的设备知道。当你尝试登录到使用 PassKey 的网站时，你的设备会使用这组密钥进行验证，而不是传统的文字密码。
PassKey 的验证原理是什么？ 要如何使用？
讲原理的这一段可能会有一点点的生硬，大家可以斟酌看看是不是要跳过。
PassKey 的运作原理
当我们谈论 PassKey 的「密钥」通常包括一对公钥和私钥：
- 公钥：这是可以公开的部分。 公要在建立后会被传送到服务器或其他需要验证身份的地方。 即使公钥被其他人知道，也无法使用公钥来假冒你的身份。
- 私钥：这是保留在装置上的部分，在安全保护的情况下不会外泄。 私钥用来生成一个数字签名，这个签名在需要验证时可以使用公钥进行验证，而且只有拥有私钥的人才能生成有效的数字签名。
在 PassKey 或类似的技术中，私钥通常存在设备的安全元件中，例如 Apple 的 Secure Enclave 或 Android 的 Trusted Execution Environment。
这些器件专为保护敏感数据而设计，并提供了硬件级别的安全性，使得私钥即使在装置被骇的情况下也难以被取得。
PassKey 的使用方式
大概了解了公钥与私钥概念后，我们就可以来看看 PassKey 是如何运作的。 不过目前 PassKey 只能说是开始渐渐被推广的技术，但还不是很全面到每个地方都可以用。
以不久前推出 PassKey 的百度为例，你可以先在帐号内设置要使用 PassKey，当你需要登录百度帐号的时候，同样通过 Touch ID、Touch ID 或是输入密码的方式，就能够以比较安全的 PassKey 方式登录你的百度帐号。
你可能会觉得整个过程和你用 Face ID 或 Touch ID 登入好像没什么差别，也确实是这样没错，但是背后的原理其实和过去是不一样的，而且如果仔细观察，输入密码的字段也不会出现。
其他像是 1Password 这类支持 PassKey 的验证方式也是相同的原理。
PassKey 和密码、Touch ID、Face ID 验证有什么差别？
但你可能会很好奇，上面说过是通过 Touch ID、Face ID 或密码的方式来验证，那这不就跟之前一样吗？
非 PassKey：帮你把密码叫出来，而且是明码
这里我们要先了解一下，无论是使用手动输入密码、Touch ID 或 Face ID，背后其实都「只是」为了验证你是手机本人，并让系统去叫出储存在设备中的那组密码，然后帮你填入网站密码字段，就这样而已，而且叫出来的还是明码的文字。
如何验证？ 你只要找一个可以显示密码的密码字段，利用 Touch ID 或 Face ID 把密码自动填写后，然后再让那个字段显示密码，就可以知道叫出来的是不是明码了。
PassKey：帮你把密钥叫出来后直接传送给服务器要求登入
而 PassKey 机制虽然也是会通过 Touch ID 或 Face ID 把密码叫出来，但是叫出来的并不是密码，而是一组密钥以及密钥所产生的数字签名。
而且你也没机会看到这个密钥，因为现在已经不需要填写密码了，然后就把这组数字签名送到验证服务器与公钥进行配对、验证。
下面这个是我在 Mac 上面要登录我的百度帐号，但是在 Mac 上没有存储过百度的 PassKey 密钥，所以系统要求我用有存 PassKey 密钥的设备扫描 QRCode。
所以 PassKey 和 Touch ID、Face ID 以及密码其实是不同的概念，在 iPhone 上使用 Touch ID、Face ID 以及密码其实是保护你存在手机里面的密码不会被窃取，至于他怎么存在服务器、怎么传输就不管了。
而 PassKey 则是通过公钥与私钥的概念，确保密码在传输、储存的过程都是安全的，而 Touch ID、Face ID 与密码只是手机端的验证机制而已。
更安全的无密码登录方式：PassKey
总结来说，PassKey 具有以下的几种特性：
- 提供高强度的密码保护。
- 可通过 Touch ID 或 Face ID 轻松使用。
- 使用 Face ID 或 Touch ID 可以快速建立帐户登录，而且无需再设置密码。
- 通行密钥与 iCloud 钥匙串同步，可在所有苹果设备上使用。
- 通行密钥基于 FIDO 联盟和 W3C 标准，使用加密密钥对替换传统密码，大大提高了安全性。
- 每个通行密钥都具有高度的安全性，不可能被猜测或重复使用。
- 通行密钥与其所属的App或网站有内在的关联，用户不会被钓鱼或使用其通行密钥登录到假的App或网站。
PassKey为我们提供了一个更简单、更安全的验证方法。 随着更多的平台和应用程序采用这种技术，对于我们的个资安全、账号安全都会是好事，如果可以的话，也会建议大家可以使用 PassKey 通行密钥来保护你的帐号安全。
