理想丰满，现实骨感
Passkeys（通行密钥）曾以终结密码时代的宏大愿景登场，凭借公钥密码学原理，承诺让用户摆脱脆弱字符串的记忆负担及钓鱼攻击困扰。理论上，私钥留存本地，服务器仅存公钥，看似固若金汤。然而，深入审视发现，这一技术在赋予用户终极所有权方面存在巨大裂痕：控制权流失、恢复过程陷阱重重，且科技巨头正将其导向各自的封闭平台。
分析指出，Passkeys紧密绑定特定设备或云账户。一旦手机丢失或同步保险库消失，账户可能永久锁定。相比之下，传统密码可复制共享，硬件密钥可紧急交接，而Passkeys的便携性远逊于此。
恢复路径成新攻击面
近期安全事件揭示了Passkeys生态的脆弱环节。微软披露了一起始于2026年5月的攻击活动，攻击者伪装成帮助台人员，诱骗用户“更新”通行密钥或单点登录设置。虽然未突破密码学层面，但社会工程学攻击成功利用了注册流程的漏洞。HID Global分析强调，FIDO标准本身坚固，但周边流程存在短板。
NHI Management Group在10月简报中指出，“恢复路径成为进入账户的最便捷途径”。攻击者通过密码重置、设备重新绑定或支持例外情况，绕过通行密钥保护，在名下重新注册合法密钥，将原用户拒之门外。当主验证器失效，系统回退至电子邮件、短信或帮助台检查，这些渠道固有的社会工程学和SIM卡交换风险随之暴露，彻底改变了信任边界。
技术攻击与平台锁定
技术层面的威胁也在蔓延。截至9月，已知损害Passkeys设置的方法达39种，包括断言重放、浏览器挂钩及恶意软件诱导WebAuthn栈签署挑战等。SpecterOps演示了Windows恶意软件可在不窃取私钥的情况下生成断言；Palo Alto Networks则详细描述了针对Google同步通行密钥的“Pass-ta-key”攻击。
Anvil Secure发布的白皮书进一步剖析了验证器、浏览器、同步网络等六个角色的独特弱点，指出密码学仅能解决部分问题。与此同时，平台锁定加剧了用户摩擦。Apple和Google将同步绑定于生态系统，Microsoft Password Manager直至2026年中仍不提供导出功能。这种“围墙花园”策略虽阻断了钓鱼，却使用户面临设备丢失或平台禁令导致的永久锁定风险。
专家谨慎与市场现状
即便在专业人士中，Passkeys的普及也遭遇阻力。Yubico和Okta于10月8日发布的调查显示，尽管87%的技术和安全人员熟悉该技术，仍有43%在工作账户中继续使用用户名和密码。个人用户更倾向于传统密码或短信验证码，习惯难以扭转。
PCMag采访SpyCloud专家时指出，Passkeys保护了入口点，却无法防范认证后的会话Cookie盗窃。恶意软件获取有效Cookie后，网站视为合法会话，无需再次登录。缩短会话超时时间和使用硬件密钥成为必要的补充措施。
结语：差距何在
FIDO联盟内部利益方的实施差异，使得Passkeys更像是一种平台捕获而非通用安全方案。对于组织而言，若不强化恢复和回退方法，新技术带来的增益微乎其微；对消费者来说，一部丢失的手机可能导致数十个账户陷入困境。
尽管微软数据显示Passkeys登录成功率高达98%（密码仅为32%），且流通量已达数十亿级，但围绕其实施的系统和人类流程往往滞后。安全领导者需像测试登录一样严格审计恢复流程和会话管理。忽视这些细节，Passkeys可能从优雅的解决方案变为令人不安的陷阱。这也解释了为何密码死亡的宣言，目前看来仍为时过早。