通行金鑰透過私密金鑰簽章完成認證，登入服務保存公開金鑰。同步通行金鑰可在裝置間同步加密的憑證，裝置綁定型則不同步。能否構成 MFA 取決於要求的使用者驗證，裝置、同步帳號與復原流程仍需保護。
私密金鑰不會傳送給登入服務
FIDO2/WebAuthn 使用金鑰對。登入服務接收公開金鑰並驗證簽章，不接收私密金鑰。同步通行金鑰可透過供應商同步加密憑證，裝置綁定型則留在驗證器中。同步帳號與復原流程也必須受到保護。
密碼
你 和 伺服器 共享同一個祕密。伺服器外洩／在假網站輸入就會被偷走
passkey
只有公開金鑰外洩，無法產生登入所需的私密金鑰簽章。
「伺服器上只有公鑰」這一點很關鍵。公鑰顧名思義就是可以公開的值，因此即使資料庫外洩，單憑它本身也無法用來登入（這與密碼的保存前提正好相反→ 什麼是雜湊化）。
與密碼＋簡訊到底有何不同
密碼＋簡訊驗證碼
- 共享祕密（密碼）會外洩／因重複使用而連鎖失守
- 在假網站輸入時，連驗證碼一起被中間人轉發
- 容易以「我自己能識破」的過度自信為前提
passkey
- 只有公開金鑰外洩，無法產生登入所需的私密金鑰簽章。
- 簽章繫結到網域＝在假網站上無法成立
- 即使使用者沒察覺，機制上也會擋住假網站
中間人型釣魚（AiTM）即使你小心翼翼地輸入了正確的驗證碼，也會連那個驗證碼一起轉發（→ 什麼是釣魚）。passkey 因為簽章被繫結在網域上，從原理上堵住了這條路徑。
passkey、2FA 與實體安全金鑰的區別
passkey 有時被說成「2FA 的一種」，有時又被說成「密碼的替代品」，所以這些用語很容易混淆。依角色並列比較如下：
| passkey | 密碼＋一次性密碼 | 實體安全金鑰 | |
|---|---|---|---|
| 登入時用的東西 | 簽章綁定網域；要求使用者驗證時使用 PIN 或生物辨識 | 記住的字串＋驗證碼（多為 6 位數） | USB/NFC 金鑰內的私鑰＋PIN 或觸碰 |
| 伺服器保存的東西 | 公鑰 | 密碼的雜湊值（驗證器 App 還有產生驗證碼用的祕密） | 公鑰 |
| 在假網站上使用時 | 簽章無法成立 | 密碼和驗證碼都可能被轉發 | 簽章無法成立 |
| 遺失裝置時 | 同步 passkey 可在其他裝置上使用 | 需要遷移驗證器或使用復原碼 | 可能需要備用金鑰或其他受支援的復原方式 |
| 適合的對象 | 幾乎所有個人用途 | 不支援 passkey 的服務 | 管理員帳號、高風險人士 |
支援 FIDO2 的硬體安全金鑰可保存不做雲端同步的裝置綁定型通行金鑰。準備備用金鑰或服務支援的其他復原方式，有助避免被鎖在帳戶外。 什麼是雙因素驗證 / 什麼是一次性密碼（OTP）.
同步 passkey 與綁定裝置的 passkey
passkey 依保存位置分為兩種。
- 同步 passkey：保存在 iCloud 鑰匙圈、Google 密碼管理工具或密碼管理器 App 中，可以在登入同一帳號的其他裝置上使用。遺失一台裝置時比較不會被鎖在門外
- 綁定裝置的 passkey：只保存在建立它的裝置內，例如實體安全金鑰。因為不會同步，你可以完全掌握它存在哪裡
NIST SP 800-63B-4（2025 年 7 月）允許在符合相關要求時於 AAL2 使用可同步驗證器，包括使用者驗證與同步基礎設施的保護。AAL3 另要求不可匯出的金鑰及其他控制，因此僅僅不同步不代表合規。應結合所需保證等級、裝置與同步帳號的保護、復原條件來選擇。
加了 passkey 之後仍然存在的弱點
即使 passkey 本身能抵抗假網站，帳號的強度仍取決於它最弱的入口。
- 密碼登入仍然有效：在許多服務上，新增 passkey 後，密碼與簡訊驗證碼的登入方式仍會保留。假網站會要求你使用剩下的那種方式，而不是 passkey
- 脆弱的復原方式：如果帳號復原只需要簡訊或已登錄的電子郵件，那就會成為入口。請也用 passkey 保護復原用的電子郵件帳號本身
- 脆弱的裝置鎖定：passkey 在你解鎖裝置時就能使用，因此請避免使用容易猜到的螢幕鎖定 PIN
實際案例：證券帳戶遭盜用與 passkey 的強制化
2025 年，日本發生多起案例：透過假冒證券公司的假網站竊得的登入 ID 與密碼，被用來在他人的證券帳戶中進行未經授權的交易。日本金融廳在其警示頁面上表示，正在推動將 passkey 等抗釣魚的 MFA 強制化，並呼籲使用者盡快完成設定。
日本證券業協會（JSDA）修訂了網路交易防範未經授權存取的指引，自 2025 年 10 月 15 日起施行。指引要求證券公司在登入、出金、變更出金帳戶等重要操作上導入抗釣魚的 MFA（例如以 passkey 或 PKI 為基礎的認證），並預設為必須使用。對沒有所需裝置的客戶，則提供替代的 MFA。
從這個案例可以得到兩點教訓：
- 業界從「使用者的警覺」轉向「設計」：呼籲大家識破假網站並沒有止住損失，因此預設改成了在假網站上無法完成的認證
- 被舉出的例子是 passkey 與 PKI，而不是由人讀取並輸入驗證碼的方式：NIST 同樣指出，手動輸入的一次性密碼無法做到抗釣魚
作為證券公司客戶的具體做法（passkey 登入與交易通知），請參考本站關於大和證券委外廠商遭未經授權存取的文章。
如何檢查自己的帳號與服務
確認重要帳號是否支援 passkey
在電子郵件、密碼管理器、雲端、證券與銀行，以及 GitHub 帳號的安全性設定中，尋找「passkey」選項。密碼管理器的清單也會顯示哪些服務已經儲存了 passkey。
註冊第二台裝置或備用金鑰
使用同步 passkey 時，請確認它在登入同一帳號的另一台裝置上也能使用。如果使用不同步的實體金鑰，請註冊一把備用金鑰，並存放在不同的地方。
關上密碼與簡訊這些側門
新增 passkey 後，確認是否仍能只用密碼或只用簡訊驗證碼登入或復原。如果有略過密碼或移除簡訊的設定，就請使用。把復原碼存放在另外的地方，例如密碼管理器中。
如果你是服務的開發者，確認網域驗證與復原方式
實作 passkey（WebAuthn）時，請在伺服器端驗證簽章是否限定於你的網域（RP ID）與來源（origin）。不要自己撰寫簽章驗證，請使用成熟的函式庫。此外，如果還留著只需簡訊的復原途徑，即使 passkey 上線了，那裡仍會是弱點。
出處（一手資料）
- FIDO Alliance「Passkeys」— fidoalliance.org（定義、同步與綁定裝置的 passkey、抗釣魚）
- W3C「Web Authentication: An API for accessing Public Key Credentials Level 3」— w3.org（憑證限定於 RP ID 與來源）
- NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」（2025 年 7 月）— pages.nist.gov（AAL2 允許同步 passkey、AAL3 不允許；何謂抗釣魚；生物辨識在裝置上比對）
- 日本證券業協會：網路交易防範未經授權存取指引的修訂（2025 年 10 月 15 日，日文）— jsda.or.jp（PDF）
- 日本金融廳：關於網路證券服務遭未經授權存取與交易的警示（日文）— fsa.go.jp
- passkeys.dev（給實作 passkey 的開發者的指南）— passkeys.dev
接下來閱讀
- 入門：如何挑選密碼管理器（也關係到 passkey 的保管・同步）
- 兩步：如何挑選多因素認證（MFA）（什麼是抗釣魚）/ 設定 GitHub 雙因素驗證（把 passkey 加為備用）
- 原理：密碼的安全保存方法 / 術語：什麼是釣魚
- 術語：什麼是雙因素驗證（passkey 之前的第二道證明）/ 什麼是一次性密碼（拿來與 passkey 比較的方式）