2026-10-15 2026-10-15

关于密码两步验证 passkey 都是什么意思

Passkey（通行密钥） 和 两步验证（2FA / MFA） 是两种完全不同的安全概念。

最核心的区别在于：Passkey 旨在“消灭密码”并实现一步登录，而两步验证则是“给密码打补丁”，要求你进行第二步确认。

🧱 核心区别：

维度	传统密码 + 两步验证 (2FA)	Passkey (通行密钥)
登录需要几步？	两步：第一步输密码，第二步输验证码/点确认。	一步：直接调用手机/电脑的面容、指纹或锁屏密码。
底层核心技术	对称加密（共享密钥），服务器和你的 App 存有相同的种子。	非对称加密（公钥/私钥对），私钥永不离设备，服务器只存公钥。
抗钓鱼攻击能力	较弱。钓鱼网站可以骗走你的密码和 2FA 验证码。	绝对防御。Passkey 绑定域名，假网站根本无法触发设备的密钥响应。

🔍 深入理解两者的本质

两步验证的核心逻辑是：“你知道什么” + “你拥有什么”。

第一步（你知道什么）： 输入你的传统账号和密码（很容易被猜到、泄露或在多网站重复使用）。
第二步（你拥有什么）： 证明你拿到了特定设备。比如 Google Authenticator 生成的 6 位临时数字、短信验证码，或者点击微软验证器的“允许”。
痛点： 体验繁琐。每次登录都要掏出手机翻看验证码，且如果遇到高级的钓鱼网站，黑客可以在前端同时骗取你的密码和验证码，实施实时攻击。

Passkey 的核心逻辑是：彻底废除密码，用设备硬件的本地解锁来代表你的身份。

它是怎么工作的： 当你在网站注册 Passkey 时，你的设备（如 iPhone、安卓手机、电脑）会在本地生成一对密钥。“公钥” 传给网站服务器，“私钥” 安全地锁在你的手机硬件芯片里（无法被导出，也无法被黑客偷走）。
登录体验： 登录时，网站发出挑战请求，你只需要刷一下面容（Face ID）、指纹（Touch ID）或输入手机锁屏密码。你的手机会在硬件内用私钥解密并回应网站，瞬间完成登录。
为什么极度安全：
- 你的设备在刷指纹时，绝对不会把指纹数据传给网站，指纹只是用来在本地“开锁”你的私钥。
- 它是天然抗钓鱼的。如果你误入了一个高仿的假银行网站，你的浏览器和手机会识别出当前域名不匹配，根本不会弹出 Passkey 允许登录，从源头上杜绝了被骗的可能。

答案是：Passkey 在技术上涵盖了“双因子”的安全性，但由于它体验太快，看起来只有“一步”。

按照网络安全定义，Passkey 本身就包含了两个因子：

因此，当一个网站升级并支持 Passkey 登录后，通常你就不再需要输入传统的 2FA 验证码了，因为单凭 Passkey 的安全性就已经超越了“密码+2FA”的组合。

不过在现阶段（过渡期），许多网站依然把 Passkey 作为一种高效的登录手段，同时保留传统密码和 2FA 作为备用登录方案

2FA 和 TOTP 是网络安全领域最常见的两个术语，它们是包含与被包含的关系：2FA 是一种安全认证的概念，而 TOTP 是实现这种概念的具体技术手段之一。

1. 2FA 是什么？

通俗解释：

2FA 是一种安全验证的机制。它要求你在登录账号时，必须提供两种不同类型的证据来证明你是你。
这两种因素通常来自以下三个维度：

例子： 当你登录教务系统或公司邮箱时，输完密码（因素一）后，手机还会收到一个短信验证码（因素二），这个完整的过程就叫做 2FA。

2. TOTP 又是什么？

通俗解释：

TOTP 是 2FA（两步验证）中最常用的一种技术算法。你在 Google Authenticator、微软验证器或 Vaultwarden 上看到的每 30 秒自动滚动更新一次的 6 位数字，就是 TOTP。

它是如何工作的？

绑定（交换密钥）： 当你用验证器 App 扫描网站的二维码时，网站把一串独一无二的“秘密钥匙（Seed/Secret Key）”传给了你的手机。
计算（对时）： 你的手机和网站的服务器，同时拥有这把“秘密钥匙”。它们会用相同的数学公式，结合当前的时间戳（每 30 秒算作一个格子），各自计算出一个 6 位数字。
验证： 因为双方的“密钥”相同、“时间”相同，算出来的 6 位数字自然也完全相同。你在手机上看一眼，输进网页，服务器比对成功，就允许你登录。

💡 为什么 TOTP 很安全、很流行？