通行密钥与无密码登录：让企业网站和应用更安全也更方便

密码是应用里最让所有人讨厌的部分。顾客忘了密码，于是放弃了购物车。员工把密码写在纸上贴在显示器旁。客服团队把时间花在重置账号上。而当别处发生数据泄露时，在多个服务上重复使用的同一个密码，也会打开通往你应用的大门。

多年来，人们给出的答案就是增加规则：密码要更长、要有符号、要定期更换，然后再加上短信验证码。每增加一项，登录就安全一点点，却麻烦很多。现在有一种方法承诺两者兼得：更安全，也更方便。它叫通行密钥。

本文从企业主的角度解释通行密钥和无密码登录。我们会用简单的方式说明它的原理、好处与局限，介绍魔法链接和一次性验证码等其他选择，讨论账号恢复，以及如何在网站和移动应用中分阶段落实。设备和浏览器的支持情况仍在不断发展，做决定之前请与开发者一起确认最新状况。

摘要

• 密码之所以薄弱，不是因为用户懒，而是因为它的设计要求人做很难做到的事
• 通行密钥使用保存在用户设备上的一对密钥，并通过指纹、面容或设备 PIN 解锁
• 通行密钥能抵御仿冒网站，因为它与真实的网站地址绑定
• 分阶段落实：先作为可选项提供，不要马上取消旧方式
• 账号恢复是最难的部分，必须像登录方式本身一样认真设计

为什么密码成了企业的问题

密码要求人做一件不自然的事：为每个服务记住几十串各不相同的随机字符。由于几乎没有人做得到，人们就使用容易猜到的密码，或者所有地方都用同一个密码。这不是个人的疏忽，而是这种设计可以预见的结果。

对企业来说，后果体现在两个地方。第一是安全。攻击者拿到从某个服务泄露的密码列表，然后自动拿去别的服务上尝试。第二是销售和服务成本。每一位登录失败的顾客，都可能是一笔流失的交易；每一次重置密码的请求，都是支持团队的负担。

最难用密码抵御的威胁，是通过仿冒网站进行的诈骗。用户收到一条看似官方的消息，点击链接，然后在模仿你应用的页面上输入密码。再长的密码也无济于事，因为是用户自己把它交了出去。

用通俗的话说，什么是通行密钥

通行密钥用一对数字密钥取代了需要记住的秘密。用户注册时，他的设备会生成两把相互配对的密钥。私钥留在设备上，永远不会被发送到任何地方。公钥则发送到你应用的服务器。公钥即使泄露也没有危害，因为它不能用来登录。

用户想要登录时，服务器会发来一个随机的挑战。用户用指纹、面容识别或 PIN 解锁设备后，设备用私钥对这个挑战进行签名。服务器再用公钥验证签名。对用户来说，整个过程感觉就像解锁手机。

需要明白的是，指纹或面容从不会被发送到你的服务器。生物识别数据只在设备上用来解锁私钥。你的应用既不保存它，也看不到它。这常常是用户担心的地方，需要在注册界面上用一句简单的话说明。

为什么通行密钥更安全

服务器上不保存任何共享的秘密。如果你应用的数据库泄露，攻击者得到的只是无法用来登录的公钥。没有可以破解、再拿到别处去试的密码列表。一次泄露造成的后果因此小得多。

通行密钥还与创建它的网站地址绑定。设备只肯在真实的地址上使用它。地址相似的仿冒网站不会被提供这把通行密钥，因此用户不可能被骗交出它。这是它与密码和一次性验证码最大的区别，后两者都可能被输入到假页面上。

此外，通行密钥无法被猜到，不能在其他服务上重复使用，并且需要用户的设备以及解锁设备的方式。换句话说，它在一个步骤里就已经结合了两个因素：用户拥有的东西，以及用户自身具备或知道的东西。

通行密钥保存在哪里

常见的形式有两种。第一种是通过密码管理器或设备生态系统账号同步的通行密钥，同一位用户的手机、平板和电脑上都可以使用。这种形式对普通顾客最方便，因为换手机时通行密钥不会丢失。

第二种是绑定在单一设备上的通行密钥，例如实体安全密钥。这种形式无法复制，适合高风险账号，例如系统管理员和财务人员。缺点是如果没有备份，丢失设备就意味着失去访问权限。

用户也可以用手机扫描二维码，在另一台设备上登录，而通行密钥本身并不会转移过去。这种流程适用于共用的电脑。作为应用的所有者，你无法规定顾客把通行密钥存在哪里，但可以为员工账号设定更严格的政策。

需要了解的局限

通行密钥不是魔法。并非所有用户使用的设备和浏览器都支持它，还有一些人用的是旧手机。另一些人还不熟悉这个说法，被提示时会犹豫。因此，对于面向大众的应用，通行密钥目前还不能成为唯一的登录方式。

共用设备也是一个难题。在店铺里，一台收银平板可能由几名员工轮流使用。绑定在设备屏幕锁上的通行密钥，无法区分此刻是谁在操作。这种情况需要另一种设计，例如在已登记的设备会话之上为每位员工设置 PIN，或者使用个人的安全密钥。

最后，通行密钥保护的是大门，而不是整座房子。已经打开的会话仍然可能从被感染的设备上被窃取，有权限的员工也仍然可能滥用自己的访问权。权限设置、操作记录和会话时限依然必不可少。

通行密钥之外的其他选择

无密码登录不只意味着通行密钥。还有几种更容易开发、用户也已经熟悉的方式，各有优点和弱点。

• 通过电子邮件发送的魔法链接：使用方便，但依赖邮箱的安全性和收信速度
• 通过短信或即时消息发送的一次性验证码：用户熟悉，但可能被输入到仿冒网站，而且依赖移动网络
• 验证器应用生成的验证码：不依赖信号，但需要额外安装应用
• 使用第三方账号登录：快捷，但会让你依赖该账号的提供方
• 实体安全密钥：非常强，但需要购买并分发设备

许多应用会组合使用几种方式。普通顾客可以在通行密钥、一次性验证码和第三方账号之间选择。拥有重要权限的员工则必须使用能够抵御仿冒网站的方式。关键在于，你所允许的最弱的方式，决定了一个账号真正的强度。

账号恢复：最难的部分

每一套登录系统最终都要看用户失去访问权限时会发生什么。手机丢了、坏了，或者换机时没有同步。如果恢复途径太难，合法的顾客会被锁在门外。如果太容易，攻击者就会把恢复途径当成后门，通行密钥的所有安全性也就白费了。

鼓励用户从一开始就登记不止一种登录方式，例如在两台设备上各有一把通行密钥，或者通行密钥加上经过验证的电子邮箱。对于高价值账号，恢复过程应当包含额外的核验和等待期，并向所有已登记的联系方式发送通知，让真正的所有者知道是否有不是自己发起的尝试。

客服团队需要一套书面的恢复请求处理程序。骗子常常带着令人信服又十分紧急的说辞打来电话。一套清楚、不依赖客服人员个人感觉、并且每一步都有记录的程序，既保护顾客，也让客服人员免受压力。

对顾客分阶段落实

不要在一夜之间取消密码。成功的过渡通常是分阶段进行的，并且把通行密钥定位为一种提议，而不是强制。这样，设备尚不支持的用户仍然可以登录，你也可以在走得更远之前先观察遇到的障碍。

1. 01在账号设置中把通行密钥作为可选项加入，并用一小群人测试
2. 02在用户用旧方式成功登录之后，立即提示创建通行密钥
3. 03对已经拥有通行密钥的人，把它作为登录界面上的首选
4. 04把通行密钥作为新注册用户的主要方式
5. 05在决定密码的去留之前，先查看使用数据和遇到的障碍

要留意界面上的用词。通行密钥这个说法对很多人来说还不熟悉。像用指纹或面容登录，无需密码这样的句子，比技术术语更容易理解。用一两句话说明生物识别数据始终留在设备上。

在员工和内部系统中落实

ERP、店铺管理后台和财务仪表盘等内部系统所保存的数据，远比顾客账号敏感。这里最值得强制使用强登录方式。从风险最高的角色开始：管理员、财务，以及任何能够修改价格、办理退款或导出顾客数据的人。

如果公司使用很多应用，可以考虑通过一个身份提供方实现单点登录。员工用强方式登录一次，然后根据角色获得各个应用的访问权限。员工离职时，所有应用的访问权限都可以从一处撤销。这种做法能减少那些被遗忘却仍然有效的孤儿账号。

还要为新员工、更换设备的员工以及丢失的设备准备好流程。清楚的程序能防止危险的捷径，例如有人无法登录时员工之间共用账号。

需要与开发者讨论的技术事项

通行密钥建立在主流浏览器和操作系统都支持的开放标准之上，因此你不会被某一家供应商绑定。尽管如此，实现过程涉及许多容易出错的细节。使用经过充分验证的库或身份服务，通常比全部自己编写更安全。

• 网站和移动应用是否使用同一个账号和同一套通行密钥
• 用户如何在账号设置中登记、命名和删除通行密钥
• 会话如何管理：有效期、退出所有设备，以及对敏感操作的再次验证
• 记录哪些内容：登记、失败的登录尝试，以及恢复方式的变更
• 在尚不支持的浏览器或设备上会如何表现
• 将来更换域名或合并应用，会如何影响已有的通行密钥

最后一点值得强调。由于通行密钥与网站地址绑定，有关域名的决定最好在推出通行密钥之前就考虑成熟。日后把应用迁到另一个地址，可能会让用户不得不重新登记。

衡量成效

要同时衡量它对安全和对便利的影响。在便利方面，关注登录尝试的成功占比、登录所需的时间，以及客服收到的重置密码请求数量。在安全方面，关注被盗用的账号数量和可疑的登录尝试。

还要关注有多少用户登记了通行密钥，又有多少人真正在用它。如果很多人登记了却仍然用密码登录，可能是登录界面的布局还没有突出这个选项。使用数据会告诉你设计上哪里需要改进。

应当避免的常见错误

• 没有过渡期，一次性取消密码
• 设置了比登录方式更弱的恢复途径
• 在界面上使用技术术语而不加简单说明
• 要求顾客使用强登录方式，却不要求管理员
• 因为登录麻烦，就让员工共用一个账号
• 以为通行密钥可以取代权限设置和操作记录

本周就可以开始的第一步

1. 01向团队索取重置密码请求数量和登录失败次数的数据
2. 02列出拥有最敏感权限的内部账号，并检查它们的登录方式
3. 03对尚未启用的管理员账号强制开启两步验证
4. 04与开发者讨论你的应用对通行密钥的准备程度以及库的选择
5. 05为客服团队写一份账号恢复程序

结语

无密码登录是普通用户能直接感受到好处的技术进展之一。通行密钥让登录应用像解锁手机一样简单，同时堵住了骗子最常利用的漏洞。对企业来说，这意味着被攻破的账号更少，在登录界面放弃的顾客更少，客服的负担也更轻。

关键在于分阶段落实，以及认真设计的账号恢复。从最敏感的内部账号开始，把它作为可选项提供给顾客，然后让使用数据来指引下一步。