看起来每个网站都想让我们停止使用密码。我们被要求使用一种叫做 Passkey 的替代品。如果你对密码很熟悉，但对这些模糊的 Passkey 并不完全理解，这应该是令人担忧的。网站称 Passkey 更安全或更方便，或其他类似的好处。虽然 Passkey 确实可以比密码更安全，可能也更方便，但这不是全部故事。Passkey 并不是为了优先考虑你的利益而设计的。就像特洛伊木马一样，Passkey 在表面上确实优雅，但内部却有令人担忧的东西。重要的是要知道，与任何其他类型的登录凭证不同，你对你的 Passkey 并没有最终的控制权。使用密码时，你可以选择在哪里写下它们；使用身份验证器应用时，你可以自己决定使用哪个（它们是相当互换的）；使用物理安全密钥时，如果你真的信任同事，可以将它们交给他们。但使用 Passkey 时，会附带一个隐藏的旋钮，让你使用它们的网站逐渐移除你随心所欲的能力。我稍后将解释这是如何可能的，但让我们先看看谁想让你使用 Passkey。Passkey 是 FIDO 联盟的发明，FIDO 联盟是由多个不同竞争利益的联盟组成——大科技、小科技、国家政府、情报机构、银行、各种公共机构，甚至还有一些非营利组织如 Mozilla——他们都能达成一致认为 Passkey 是一个好而正义的事业。FIDO 联盟的成员都有自己的利益。大科技希望给我们的生活带来一些小不便，以便销售更多的广告。情报机构希望跟踪世界上的每一个人。银行希望摆脱责任。小科技希望有便宜的解决方案来减少责任。Mozilla 希望避免在任何特定问题上死磕。我并不特别声称这些动机有多糟糕。但值得注意的是，没有任何消费者倡导团体是 FIDO 联盟的成员。（这与例如万维网联盟形成对比，万维网联盟是决定网站使用标准的组织。在通常的企业成员之外，它不仅有公共利益团体，还有大学及 Tim Berners-Lee，1999年发明万维网的英国计算机科学家。老实说，如果甘道夫自己加入 W3C，他也不会显得不合适。）关于 FIDO 联盟，没有人会为用户自身的利益提出强有力的理由。对公众的解释是每个人现在都需要使用 Passkey，因为密码不安全。在这一点上我同意。考虑一下，那个价值十亿的美国 IT 公司 SolarWinds 的服务器被发现使用 solarwinds123。夏威夷的紧急管理局（同一家发出了错误导弹警报的机构）因某人桌子上的便签不小心泄露了密码。如果你的安全依赖于密码，你会始终担心某人某地以某种方式搞清楚了它是什么，并已经访问了你的银行账户。另一方面，密码的优势在于它们非常直观，大家都知道它们是如何工作的，人们自古以来就一直在使用它们，而且你可以选择将它们存储在哪里并与谁分享。请记住这一点。（还要记住：Netflix 不希望你分享你的密码。）但是 FIDO 联盟声称通过 Passkey 解决的安全问题，实际上已经通过双因素认证解决：尤其是接收带有一次性代码的短信或电子邮件，然后是更强大的基于时间的一次性密码（TOTP）系统——通常被称为“身份验证器应用。”关于 TOTP 的很棒之处在于它不依赖于短信或电子邮件，甚至根本不依赖于互联网。你的身份验证器软件每 30 秒仅基于当前时间生成一个随机看起来的数字（和一个对你唯一的随机起始数字，叫做“种子”或“密钥”），这就是网站需要验证你身份所需的全部。身份验证器应用这个术语是误导的，尤其是因为网站倾向于强烈暗示你需要下载某个特定的应用程序，比如 Google Authenticator。实际上，TOTP 有一个开放标准（叫做 RFC 6238）；换句话说，用于生成这些随机看起来数字的公式是公开知识，因此你不需要使用某一特定的软件。在几乎所有情况下，你不需要因为网站建议而使用 Google Authenticator。你甚至不需要使用智能手机；你可以使用你的笔记本电脑，甚至 90 年代的 Game Boy 进行此目的。你可以使用任何你喜欢的软件和硬件，只要它...