近期，一篇题为《停止使用密码，回归 TOTP 代码和密码》的文章在 Hacker News 上引发热议。该文声称 Passkeys（通行密钥）存在安全隐患，建议用户弃用并退回传统验证方式。然而，这一观点被指严重误解了 Passkeys 的技术原理与实际部署现状。
核心争议：Passkeys 并非“陷阱”
原文作者认为 Passkeys 支持所谓的“认证”，并将其描述为一种“隐藏拨号”机制，指责网站可能逐步强制开启此功能，且未优先考虑用户利益。文章甚至引用英国图像扫描方案作为论据，试图证明 Passkeys 设计存在缺陷。
尽管叙事看似令人信服，但技术事实表明，这种担忧与 Passkeys 的实际工作机制并不相符。
同步密钥不提供设备证明
目前大多数用户使用的 Passkeys 属于“同步密钥”，通常存储在 iCloud Keychain、Google Password Manager、1Password 或 Bitwarden 等密码管理器中。这类密钥并不会向网站提供关于用户设备硬件或固件的“证明声明”。即便网站发起询问，返回结果也为空。这一结论基于开源密码库的开发实践得出。
如果一家消费者网站明天决定仅接受经过认证的密钥，实际上没有任何主流消费者网站能够执行此要求。行业指导方针多年来一直明确不要求此类认证。
WebAuthn 认证的范围有限
原文对“证书证明”的描述存在偏差，认为其能确认“已批准的密钥管理器、操作系统和固件正在使用中”。事实上，当 WebAuthn 认证存在时，它仅通过 AAGUID 向网站告知认证器的品牌和型号。它不会披露用户的操作系统版本、浏览器类型、扩展程序状态、手机是否 Root/Jailbreak，也不会报告固件版本。
值得注意的是，对于追求更高安全性的用户，文章建议使用 YubiKey 等硬件安全密钥。YubiKey 确实具备认证功能，并持有由 Yubico 颁发的认证证书，企业可利用此特性要求员工使用受认可的硬件密钥。但若用户担忧的是隐私泄露，转向硬件密钥反而引入了更多的认证数据，这与原文劝退 Passkeys 的逻辑相悖。
TOTP 并非更优解，Passkeys 抵御钓鱼更有效
原文将 TOTP（基于时间的一次性密码）视为优于 Passkeys 的解决方案。虽然 TOTP 比单独使用密码更安全，但其致命弱点在于可被网络钓鱼攻击利用。例如，Evilginx 等中间人攻击工具可以实时截获用户的密码和 TOTP 代码，并将其转发至真实网站。
Passkeys 正是为解决这一问题而设计。由于 Passkeys 与域名绑定，浏览器无法在 examp1e.com 这样的仿冒网站上调用 example.com 的密钥。这意味着不存在可以被读取的代码，用户也无法因混淆域名而误操作。原文作者在附录中也承认 Passkeys 具有域内绑定特性并能抵御中间人攻击，但仍建议读者避免使用，这被视为一种倒退。
建议继续使用 Passkeys
鉴于上述分析，用户应继续采用 Passkeys。只要网站提供支持，就应启用并将凭证存储在可信的密码管理器中。若需迁移凭证，应选择支持该功能的供应商。
目前，最大的服务提供商并未强制要求消费者登录时使用设备认证。因此，避开 Passkeys 并不能保护用户免受任何威胁，反而会使账户暴露在传统的网络钓鱼风险之下。Passkeys 是目前保护账户的最佳工具之一，而非陷阱。
