业界普遍预期无密码时代即将到来。据 FIDO 联盟统计，全球目前存在超过 50 亿个密码密钥，且超过四分之三的全球消费者已在至少一个账户中启用了该技术。
对于金融行业而言，密钥技术消除了对基于知识凭证（如母亲童年姓名、成长城市或传统密码）的长期依赖。用户可通过指纹等生物识别信息快速访问账户，避免了多次屏幕跳转和重复输入“难忘信息”的繁琐流程。
然而，安全形势依然严峻。Javelin 研究显示，2025 年账户接管事件影响了约 600 万美国消费者，较上一年增长 18%，造成损失超过 150 亿美元。美联储数据也指出，在 2023 至 2024 年间，此类攻击增加了 36%。这些数据表明，尽管密钥技术本身并非失败根源，但其实施与保护环节仍存在漏洞。若攻击者能欺骗系统发放新密钥，原有的身份验证机制便形同虚设。
规模不等于风险：金融领域的特殊考量
去年 8 月，帕洛阿尔托网络第 42 部门研究人员披露了针对密钥保护账户的三次概念验证攻击。研究展示了恶意软件如何在受感染设备上完成身份验证，甚至干扰新密钥注册或暴露同步密钥。
尽管该研究令人震惊，但需理性看待其局限性。所有攻击场景均始于已植入恶意软件的“有毒”设备，且最严重的案例依赖于浏览器、操作系统与安全硬件的特殊组合。关键在于，没有任何案例破解了密钥背后的加密算法。这意味着此类攻击难以大规模自动化扩展，相比常见头条新闻中的漏洞利用，其难度更高。
但在金融领域，“难以扩展”并非充分的安全辩护。犯罪分子无需窃取数千个账户，只需成功入侵单个高价值目标，即可对银行声誉或监管地位造成毁灭性打击。
账户恢复仍是薄弱环节
用户常质疑密钥在设备丢失或更换时的可用性。虽然银行追求无缝的设备切换体验，但重新发放密钥不同于重置密码，其安全性完全取决于发布流程的可信度。
攻击者往往只需突破相对薄弱的恢复障碍。金融机构如何确认申请新设备的用户并非冒充者？若将密钥恢复退化为基于知识的验证，则违背了其设计初衷。信任建立于注册阶段，即银行验证个人身份并将其与可信记录绑定时。当需要恢复账户时，银行应回归这一原始真相来源，而非通过可能已被泄露的渠道寻求新的“证据”。恢复流程的有效性在第一天即已决定，无论后续几年是否触发使用。
认证不等于授权
认证与授权之间存在显著界限，尤其在资金转移场景中。认证证明设备上的凭证存在及用户身份合法，而授权涉及许可与意图确认。生物识别或 PIN 码仅能解锁凭证，确认登录行为，但这并不意味着会话内的后续操作均获用户明确同意。
例如，系统在 10:19 确认用户合法登录，无法同时证明用户在 10:26 有意转账 5,000 美元给新收款人。金融机构需在避免过度摩擦导致客户流失的前提下，跨越这一鸿沟。通过步骤认证建立上下文基准是关键策略：若用户在常规时间（如 9:50）执行常规操作（如查余额），可视为正常；但若涉及转账、添加收款人或账户恢复等高敏感操作，则需重新建立信任，回溯至服务器存储的原始身份真相源。每个请求应根据其敏感程度独立评估。
密钥的定位与局限
在现代银行业务中，密钥技术具有重要价值，它剥离了易被窃取的传统知识依赖。理论上，密钥应消除账户接管风险，但实践中仍需完善。金融机构必须明确谁最初绑定了基于设备的凭证，并有效区分访问权限与交易意图。密钥承担了部分安全责任，但非全部。随着越来越多的金融机构进入信任重构的前线，如何平衡便捷性与安全性仍是核心挑战。
