密码作为一种安全系统非常糟糕。人类根本不擅长创建冗长、唯一且安全的密码。我们大多数人只会反复使用那些包含有意义信息的简短字符串——即使是安全的密码也不是非常可靠。诸如网络钓鱼之类的社会工程攻击可以欺骗人们，让他们交出即使是最长密码，或者当整个未加密数据库被黑客入侵时，密码也可能被泄露。这对负责保护您数据安全的技术公司来说是一个大问题，更不用说那些遭受隐私泄露的个人了。因此，苹果、微软、谷歌以及FIDO Alliance中的其他公司已经着手开发一个名为“通行密钥”（passkeys）的更好解决方案。
在本周的全球开发者大会（WWDC）上，苹果公司宣布了其对新批准的通行密钥标准的实施。它将随着 iOS 16 和 macOS Ventura 一起推出，因此这是我们首次真正了解长期承诺的无密码未来（FIDO Alliance，一个致力于“解决世界密码问题”的行业组织，已经为此努力了十年）。
在WWDC 主题演讲中，苹果公司互联网技术副总裁 Darin Adler 将通行密钥称为“新一代凭证，它更安全、更易于使用，并旨在彻底取代密码。”这实际上是一个很好的总结——而且并没有夸大其词。
那么它们将如何工作？通行密钥基于 WebAuthentication（或 WebAuthn）标准构建。它使用一种称为公钥加密的密码学原理来保护您的帐户。这与 iMessage、Signal 和其他安全通信应用程序中的端到端加密是相同的原理。您将不再为帐户创建密码，而是您的设备将创建一对数学上相关的唯一密钥：一个公钥和一个私钥。公钥存储在服务器上（因为它顾名思义，并非秘密），它将允许网站或应用程序验证您的帐户——只要您拥有匹配的私钥。诀窍在于，由于数学的工作原理，私钥永远不需要与服务器共享。您的设备可以在不泄露私钥的情况下完成所有身份验证。这是一种很棒的技术，具有重要的安全实现。
尽管通行密钥听起来可能很复杂（其底层密码学确实很复杂），但在实际操作中，它们将使注册新帐户变得更加简单。您只需使用 Touch ID 或 Face ID，您的 iPhone、iPad 或 Mac 就会处理其余的事情。您不必想出一个长密码，添加一些特殊字符，然后尝试记住它。您甚至不会看到您的公钥或私钥。所有这些都将在后台完成，从而消除了不可靠的人为因素。
此外，通行密钥无法被网络钓鱼。您为任何给定网站的公钥都不是特权信息。所有重要的都是私钥，它永远不会离开您的设备。一个旨在冒充您的银行、eBay 或其他帐户的假网站无法欺骗您交出它。它可以设置登录提示，但它什么也做不了。
至少在支持文档和 WWDC 的演讲中，苹果公司对通行密钥的实现听起来很可靠。它们将通过 iCloud 钥匙串（本身就是端到端加密的）在您的设备之间同步。即使是苹果公司也无法访问您的私钥。
该系统经过设计，即使您的 Apple ID 被盗用、您丢失了所有设备，或者有不怀好意的苹果员工试图攻击 iCloud 钥匙串服务器，您的登录信息仍然是安全的。它要求您对 Apple ID 使用双重身份验证，这使得攻击者（即使拥有您的 iCloud 密码）在新设备上设置东西变得更加困难。还有一个称为iCloud 钥匙串托管的系统，可以在您丢失设备时处理密码恢复。即使是苹果公司也无法对其进行暴力破解攻击。
虽然我们仍在等待微软、谷歌和其他大型科技公司如何推出通行密钥，但它们都已承诺在尽可能多的不同设备上实现互操作性。我们在 WWDC 的公告中看到了这一点，当时 Adler 演示了如何使用 iPhone 通过扫描二维码登录网站。这将允许您在朋友的电脑上查看电子邮件，或在酒店打印文件，而无需密码。
简而言之，这看起来是一个在合理范围内最安全的设计系统。总会有攻击向量，而专门针对特定个人的黑客可能会找到并利用它们，但对于普通人来说，这个系统应该可以解决三个最大的问题：弱密码、泄露的密码和网络钓鱼。
在下方观看 WWDC 的相关部分
