通行密钥

通行密钥是一种身份验证技术，用户无需使用用户名和密码即可登录网站。相反，通行密钥会使用用户已经完成身份验证的个人设备，以及一对加密密钥来登录。由于通行密钥使用的指纹、面部扫描或 PIN 与用户解锁设备时使用的相同，因此登录网站会更快速、更简单，也更安全。

当用户首次为帐户创建通行密钥时，其设备会生成两个加密密钥——一个存储在设备上的私钥，以及一个存储在该帐户对应的网站或服务的服务器上的公钥。当用户尝试登录时，服务器和用户的设备不会交换密钥；相反，服务器会向用户的设备发送一个数学挑战，设备通过结合算法和私钥来解决该挑战。设备会将解决方案发回服务器，服务器再使用公钥对其进行验证。服务器和用户的设备都不会同时拥有两个密钥。

通过从登录过程中移除用户名和密码，通行密钥可以防止多种安全问题。首先，也是最重要的一点，不再有用户名和密码可供窃取——没有弱密码可供猜测，也没有凭据会受到网络钓鱼诈骗的威胁。如果网站的服务器遭到入侵，攻击者只能获得公钥。如果用户的设备被盗，通行密钥登录仍然要求用户进行生物识别扫描或输入 PIN，之后才会授予访问权限。

NOTE:使用通行密钥登录网站或服务，需要设备的操作系统和Web 浏览器提供支持。通行密钥标准由Apple、Google、Microsoft、FIDO 联盟和万维网联盟共同制定。这些组织正共同努力，将通行密钥支持加入其软件和硬件设备中。