密碼消失以前：通行金鑰如何重新安排登入的責任
導言
當手機跳出「建立通行金鑰」的提示，多數人看到的是少打一串密碼；實際上，登入責任正在換手。它從使用者記住、辨認與輸入一組共同祕密，轉向裝置、瀏覽器、憑證管理器與帳戶復原流程共同完成的驗證。這個轉變值得現在細看：英國國家網路安全中心（NCSC）在 2026 年 4 月建議，若服務提供通行金鑰，就應優先採用；但同一機構也曾提醒，跨平台、遺失裝置與復原流程仍有未解的使用障礙¹²。
本文不是要把通行金鑰說成萬靈丹。它確實能改變釣魚與密碼重用造成的風險結構；但「更安全」不等於所有復原、共享裝置、跨系統使用與人際控制風險都已被解決。讀者真正需要知道的，是自己的金鑰存在哪裡、哪一個帳戶能把它找回來，以及在手機遺失前應留下哪些退路。
一、不是把密碼變成指紋
通行金鑰不是可以打字的密碼，也不等同於指紋或臉部資料。FIDO Alliance 將它定義為連結特定帳戶與網站或應用程式的 FIDO 憑證；使用者以平日解鎖裝置的方式，例如 PIN、圖形、指紋或臉部辨識，同意使用該憑證³。背後是公私鑰對：服務保存公開金鑰，私鑰由裝置或憑證管理器控制。Google、Apple 與 Microsoft 的說明都指出，公開金鑰本身不足以完成登入；服務端會發出一次性挑戰，裝置以私鑰簽章，服務端再驗證簽章⁴⁵⁶。
這個差異改變了失竊資料的意義。傳統密碼通常是服務與使用者都知道、或至少可由使用者輸入的祕密；一旦它被重用，其他服務也可能遭到「撞庫」。23andMe 事件中，路透報導公司曾表示，攻擊者可能利用其他網站外洩、被重用的密碼進入個別帳戶⁷。通行金鑰則為每個網站建立不同憑證，MDN 說明其範圍規則使 lookalike 網域不能調用原網站的通行金鑰⁸。
然而，這不是把人從驗證過程完全拿掉。人仍要保護裝置的解鎖碼、作業系統帳戶與憑證管理器；服務仍要正確驗證來源、網域、挑戰與簽章。Google 的開發者指南明確列出伺服器端必須檢查 RP ID、來源、挑戰、使用者在場與簽章⁹。換句話說，通行金鑰把「請別輸入假網站」的一部分負擔交給瀏覽器和作業系統，但沒有把帳戶安全變成自動完成的家務。
二、釣魚網站少了一條路，帳戶卻沒有無敵
通行金鑰的核心優勢在於來源綁定。假登入頁可以模仿銀行、社群或購物網站的外觀，卻不能讓瀏覽器把原本註冊給正確網域的憑證交給它。NCSC 因此把它描述為可降低釣魚效果的替代方案，並建議在可用時優先使用¹；BBC 同時提醒，仍有平台不支援，專家也不把它視為「銀彈」¹⁰。這種保留很重要：安全並非只取決於登入那一秒，而取決於帳戶是否仍保留可被釣走的密碼、簡訊或弱復原通道。
AP 的消費者報導指出，通行金鑰只會在建立它的網站運作，設計目的之一就是排除重用¹¹。NCSC 也建議，在尚不支援時，應繼續使用密碼管理器產生強且獨特的密碼，並啟用兩步驟驗證¹。這不是退步，而是過渡期的現實：同一個人會同時擁有通行金鑰、舊密碼、備用信箱、電話號碼和客服復原程序；攻擊者會尋找其中較弱的一條路。
Ars Technica 的評論提出更尖銳的問題：不少服務允許通行金鑰後，仍能回退到密碼或簡訊，因而可能稀釋其抗釣魚效果¹²。這是評論與實作觀察，不等同於所有服務都如此；但它說明讀者不應只看「已支援」的標章。對電子郵件、金融、工作與雲端照片等重要帳戶，還要查看登入頁是否真的允許以通行金鑰為優先方式、有哪些復原選項、以及是否能檢視或移除已登錄的憑證。
三、鑰匙放在哪裡，決定便利也決定依賴
通行金鑰大致有兩種日常路徑。第一種是裝置綁定：私鑰留在一部裝置或硬體安全金鑰，不隨雲端複製。第二種是同步：憑證管理器將加密後的憑證提供給同一使用者的其他裝置。Microsoft 的文件把兩者分開說明，並指出同步型通行金鑰便利、成本低，但在要求嚴格裝置來源的環境中，可能需要選擇可做證明的裝置綁定憑證⁶。NIST 也為可同步驗證器發布補充指引，顯示它已不是純粹的產品功能，而是數位身分保證等級的政策問題¹³。
Apple 表示 iCloud Keychain 中的通行金鑰採端對端加密，連 Apple 也無法讀取；Google 則說使用者的生物辨識資料留在裝置，不與 Google 分享⁴¹⁴。這些是各平台的官方安全陳述，反映它們承擔了新的信任位置：使用者不必自己記憶每把鑰匙，卻必須信任供應商的同步、帳戶保護與復原設計。FIDO 的標準確實提高互通性，但「用哪一家憑證管理器、哪些裝置能看見金鑰」仍會影響實際體驗³。
跨裝置登入尤其能揭露這個差別。Google 的說明要求以手機替電腦登入時開啟藍牙，並透過 QR code 與手機確認¹⁴；這是為了在不把私鑰直接交給陌生電腦的前提下，讓附近裝置完成驗證。但 NCSC 指出，不同系統與不同「口味」的通行金鑰仍可能讓使用者困惑，尤其在同步、轉移與相容性上²。對同時用 iPhone、Windows 筆電、工作電腦與不同瀏覽器的人來說，這不是小細節，而是每天可能遇到的摩擦。
四、遺失手機後，真正的登入才開始
把密碼記在腦中時，遺失手機未必等於遺失登入能力；把通行金鑰交給裝置與同步帳戶後，情況改變了。同步可以使新手機在完成供應商帳戶復原後重新取得憑證，因此減少單一裝置損壞的鎖死風險；但它也把關鍵問題推到「我能否復原 Apple、Google、Microsoft 或第三方憑證管理器帳戶」。NCSC 在 2025 年的分析說得直接：備份與同步能改善復原，但前提是使用者事先為憑證管理器帳戶做好復原準備²。
一篇比較同步與裝置綁定憑證的學術研究也得到相近結論：同步型能降低遺失裝置後無法登入的機率，但安全性會更集中於通行金鑰供應商；裝置綁定型的硬體隔離較強，卻較不容易從遺失中恢復¹⁵。這不是宣判哪一種必然較好。一般消費者往往需要同步帶來的可用性；高風險工作帳戶、受管制環境或遭鎖定攻擊的人，則可能更重視裝置綁定與多把實體安全金鑰。
復原還有第二層：個別網站的帳戶復原。就算你能登入憑證管理器，網站仍可能要求舊密碼、備援信箱、簡訊、復原碼或客服驗證。NCSC 警告，當通行金鑰阻擋釣魚時，攻擊者可能轉而針對密碼重設與復原請求²。因而，最重要的準備不是等手機丟了再學 QR code，而是在平安時檢查：我有沒有第二個可用裝置、另一把通行金鑰、可離線保存的復原碼，以及仍可登入的備援信箱。
五、生物辨識不是傳給網站的臉
「用臉登入」容易讓人以為網站收集了臉部模板。實際上，通行金鑰的典型流程是裝置以既有的 PIN、指紋或臉部辨識確認本機使用者，再以私鑰簽署服務發出的挑戰。Google、Apple 與 Microsoft 都表示，生物辨識資料留在裝置；網站接收到的是可驗證的密碼學回應或本機驗證成功的結果⁴⁵⁶。EFF 的隱私分析同樣指出，指紋、臉部或解鎖碼不會送往網站，網站通常只得知使用者驗證已完成¹⁶。
不過，「不傳送臉部資料」不是全部的隱私問題。EFF 提醒，某些安全金鑰或實作可能讓網站取得裝置型號或憑證管理器類型，若設計不當，可能形成額外識別訊號¹⁶。FIDO 的目標是避免跨站追蹤，且每個網站使用不同憑證³；但實作者仍須避免蒐集不必要的裝置資訊。對使用者來說，新的可見性問題是：哪些帳戶有通行金鑰、由哪個供應商保管、誰能存取該裝置的解鎖碼。
這也解釋了為何 PIN 仍然重要。通行金鑰不是用生物辨識取代所有選項；不想或不能使用生物辨識的人通常仍能用裝置 PIN 或圖形解鎖。NCSC 特別指出，共用裝置、沒有私人現代裝置、或生物辨識不適用的人，可能無法享有相同的便利²。便利的設計若把「每個人都有私有手機」當預設，就會把一部分人排除在外。
六、共享裝置與被控制的帳戶
密碼可以被分享、記在紙上或在多人間傳遞；通行金鑰則常讓每個人各自登錄一把憑證。這有助於減少「大家都知道同一個密碼」的情況，也讓服務理論上能區分不同憑證。但它在共享帳戶、家庭平板與照顧關係中帶來新的管理需求：帳戶擁有者要能看見已登錄的每一把通行金鑰，收到新增通知，並清楚知道刪除、登出與密碼重設是否真的撤銷了存取。 USENIX 的研究團隊以 19 個支援通行金鑰的服務分析親密關係威脅模型，發現不一致的介面與撤銷設計可能使濫用者保持存取，或使當事人難以察覺與復原¹⁷。另一項使用者研究讓 31 人處理模擬帳戶入侵，參與者常無法在帳戶安全頁面找到惡意新增的通行金鑰，也沒有任何人完整完成所有修復步驟¹⁸。這些研究不代表所有服務都有相同缺陷，卻足以說明「抗釣魚」不等於「對每種控制與濫用都安全」。
因此，服務商的責任不只在支援 WebAuthn。它還包括讓使用者清楚辨認憑證、在新增與移除時提供有意義的通知、列出活躍工作階段，並把復原流程連到所有存取途徑。對處於人際暴力或被監控風險者，貿然撤銷憑證也可能引發安全後果；這類情境需要安全規劃，而不是單一的技術指令。本文無法以通用建議取代專業支持。
七、過渡期最實用的不是「全數切換」
對一般使用者，合理的第一步不是刪除所有密碼，而是選少數高價值帳戶試用：主要電子郵件、雲端照片、金融服務或工作帳戶（前提是該服務支援且了解其復原規則）。AP、BBC 與 NCSC 都把通行金鑰描述為更容易的替代登入方式，但也都保留了支援不完整與過渡期防護的提醒¹¹¹⁰¹。若服務沒有支援，仍應使用密碼管理器建立獨特長密碼並開啟較強的兩步驟驗證，而不是因為「密碼終將消失」就放棄現有防線。 第二步是回答三個具體問題：這把通行金鑰由誰保存？它會同步到哪些裝置？我失去所有常用裝置時，能以什麼方式回來？Google 的帳戶文件提醒，建立通行金鑰時應只在自己擁有並使用的裝置上進行，並列出跨裝置登入對螢幕鎖與藍牙的要求¹⁴。這些操作條件看似瑣碎，卻是日後能否復原的地圖。
第三步是為重要帳戶建立真正獨立的備援。若服務允許，可在另一台裝置或硬體安全金鑰註冊第二把通行金鑰；把復原碼放在不與主要手機同處的位置；檢查備援信箱與電話是否仍可用。這些做法不是因為通行金鑰失敗，而是承認帳戶安全永遠是一條鏈。NIST 與 NCSC 對同步和復原的討論都指向同一個方向：可用性、保護與責任必須一起設計¹³²。
結語：責任沒有消失，只是從記憶搬家
密碼制度把太多安全責任放在人的記憶與警覺上：不要重用、要夠長、別輸入假網頁、還要記得每一組。通行金鑰用來源綁定與公私鑰，確實移除了其中一部分最脆弱的環節。NCSC 在 2026 年改採優先建議，正反映這項技術已從實驗性功能走向公共數位生活的選項¹。
但責任沒有消失，它搬到了別處：裝置鎖定是否安全、同步帳戶是否能復原、服務的回退登入是否較弱、帳戶頁面是否能清楚撤銷存取，以及共用或受控制情境中的人是否看得見發生什麼事。（以下為分析，非事實陳述） 對使用者而言，成熟的採用態度不是相信「密碼已死」，而是把每一次建立通行金鑰都當成一次小型的帳戶架構決定：確認存放處、留下第二條獨立退路，並在任何看似方便的提示前問一句——若明天這台手機不在了，我還能證明我是我嗎？
引用來源
¹ UK National Cyber Security Centre（2026-04）— "Passkeys: what you need to know" https://www.ncsc.gov.uk/passkeys
² UK National Cyber Security Centre（2025-01-15）— "Passkeys: they're not perfect but they're getting better" https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better
³ FIDO Alliance（2024-10-11）— "FIDO Passkeys: Passwordless Authentication" https://fidoalliance.org/passkeys/
⁴ Apple Developer（2026）— "Passkeys Overview" https://developer.apple.com/passkeys/
⁵ Google for Developers（2026）— "Passkeys" https://developers.google.com/identity/passkeys
⁶ Microsoft Learn（2026）— "Passkeys (FIDO2) authentication method in Microsoft Entra ID" https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
⁷ Reuters（2023-10-06）— "Hackers advertise sale of 23andMe data on leaked data forum" https://www.reuters.com/technology/hackers-advertise-sale-23andme-data-leaked-data-forum-2023-10-06/
⁸ MDN Web Docs（2026）— "Passkeys" https://developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys
⁹ Google for Developers（2026）— "Server-side passkey authentication" https://developers.google.com/identity/passkeys/developer-guides/server-authentication
¹⁰ BBC News（2026-04-24）— "UK cyber chiefs say it's time to ditch passwords for passkeys" https://www.bbc.com/news/articles/cq8wnzly5j5o
¹¹ AP News（2024-11-14）— "One Tech Tip: Replacing passwords with passkeys for an easier login experience" https://apnews.com/article/google-apple-passkey-password-cybersecurity-e058dbdd304ff90c9b49499cd121bb88
¹² Ars Technica（2024-12-30）— "Passkey technology is elegant, but it’s most definitely not usable security" https://arstechnica.com/security/2024/12/passkey-technology-is-elegant-but-its-most-definitely-not-usable-security/
¹³ NIST（2024-04-22）— "SP 800-63B Supplement 1: Incorporating Syncable Authenticators" https://csrc.nist.gov/pubs/sp/800/63/b/sup/final
¹⁴ Google Account Help（2026）— "Sign in with a passkey instead of a password" https://support.google.com/accounts/answer/13548313
¹⁵ ICISSP／arXiv（2025）— "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" https://arxiv.org/html/2501.07380v1
¹⁶ Electronic Frontier Foundation（2023-10-26）— "Passkeys and Privacy" https://www.eff.org/deeplinks/2023/10/passkeys-and-privacy
¹⁷ USENIX Security（2025）— "A Framework for Abusability Analysis: The Case of Passkeys in Interpersonal Threat Models" https://www.usenix.org/system/files/usenixsecurity25-daffalla.pdf
¹⁸ USENIX Security（2026）— "Maybe there’s only one passkey?: Challenges Investigating and Remediating Adversarial Passkeys" https://alaadaff.github.io/usenix26_passkeys_user_study.pdf
¹⁹ The Guardian（2026-04-24）— "What is a passkey, how does it work and why is it better than a password?" https://www.theguardian.com/technology/2026/apr/24/what-is-a-passkey-how-does-it-work-and-why-is-it-better-than-a-password
²⁰ The New York Times Wirecutter（2023-01-11）— "RIP, Passwords. Here's What's Coming Next." https://www.nytimes.com/wirecutter/blog/what-are-passkeys-and-how-they-can-replace-passwords/
八、通行金鑰也是服務設計問題
一個理想的登入流程，不應只在「建立通行金鑰」的那一刻追求少一步，而應把它視為帳戶生命周期的開始。使用者日後會換手機、交接工作設備、停止使用某個密碼管理器、在旅途中借用電腦，也可能遇到可疑登入。若服務只在註冊時顯示漂亮的 Face ID 視窗，卻不在帳戶安全頁面清楚列出憑證名稱、建立日期、最後使用的裝置與撤銷作用，便利會在真正需要判斷時變成不透明。
這是標準化與產品責任交會的地方。WebAuthn 規範處理瀏覽器如何做來源驗證；但使用者是否看得懂「這把鑰匙是我的舊手機、筆電還是陌生裝置」，通常由平台與服務介面決定。USENIX 的兩項研究發現，受測者在辨識與處置對手新增的通行金鑰上有困難，而不同服務對通知、命名與撤銷的做法不一致¹⁷¹⁸。這些結果不能外推成每一家都不安全；它們指出的是一個還在成熟的管理層問題：密碼時代的「改密碼」習慣，無法自動等同於撤銷所有其他憑證與既有工作階段。
對服務提供者而言，最低限度應是讓使用者把每個登入途徑看成一份可管理的清單，而不是散落在密碼、兩步驟驗證、裝置、passkey 與客服頁面的碎片。新增或移除通行金鑰時，通知應明確說明行動本身、位置與後續步驟；帳戶遭疑似入侵時，修復清單應同時覆蓋密碼、通行金鑰、備援信箱、電話與工作階段。這不是增加使用者負擔，而是把原本藏在系統裡的責任顯示出來。
九、從「會不會用」走向「能不能選」
通行金鑰的語言常把登入描繪成輕觸、看一眼或掃一下就完成；那對擁有私人手機、穩定網路與單一平台帳戶的人確實可能成立。但使用權並不平均。有人共用家中平板，有人依賴圖書館或工作場所電腦，有人無法或不願使用臉部與指紋，也有人因年齡、身障或經濟限制而不會頻繁更新裝置。NCSC 將這些情境列為普及採用仍需處理的問題²。
因此，安全設計不能把密碼、PIN、生物辨識與通行金鑰簡化為道德高低。PIN 是很多人可使用、可不依賴生物資料的本機驗證方式；硬體安全金鑰能提供較明確的實體保護，但有購買、攜帶與遺失成本；同步憑證讓更換手機容易，卻把使用者更深地放進供應商帳戶的復原體系。NIST 對同步驗證器與不同保證等級的處理，正反映同一技術在不同風險條件下可能有不同合適做法¹³。
（以下為分析，非事實陳述） 對公共服務、學校、銀行與平台而言，最好的結果不會是把所有人推向單一裝置或單一廠商，而是讓人能理解選項、選擇可負擔的保護方法，並在失敗時得到清楚而尊重的復原路徑。通行金鑰最有價值的地方，是降低「人必須永遠不犯錯」的要求；若它要成為真正普及的工具，也必須降低「人必須擁有同一種生活條件」的要求。
引用來源
¹ UK National Cyber Security Centre（2026-04）— "Passkeys: what you need to know" https://www.ncsc.gov.uk/passkeys
² UK National Cyber Security Centre（2025-01-15）— "Passkeys: they're not perfect but they're getting better" https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better
³ FIDO Alliance（2024-10-11）— "FIDO Passkeys: Passwordless Authentication" https://fidoalliance.org/passkeys/
⁴ Apple Developer（2026）— "Passkeys Overview" https://developer.apple.com/passkeys/
⁵ Google for Developers（2026）— "Passkeys" https://developers.google.com/identity/passkeys
⁶ Microsoft Learn（2026）— "Passkeys (FIDO2) authentication method in Microsoft Entra ID" https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
⁷ Reuters（2023-10-06）— "Hackers advertise sale of 23andMe data on leaked data forum" https://www.reuters.com/technology/hackers-advertise-sale-23andme-data-leaked-data-forum-2023-10-06/
⁸ MDN Web Docs（2026）— "Passkeys" https://developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys
⁹ Google for Developers（2026）— "Server-side passkey authentication" https://developers.google.com/identity/passkeys/developer-guides/server-authentication
¹⁰ BBC News（2026-04-24）— "UK cyber chiefs say it's time to ditch passwords for passkeys" https://www.bbc.com/news/articles/cq8wnzly5j5o
¹¹ AP News（2024-11-14）— "One Tech Tip: Replacing passwords with passkeys for an easier login experience" https://apnews.com/article/google-apple-passkey-password-cybersecurity-e058dbdd304ff90c9b49499cd121bb88
¹² Ars Technica（2024-12-30）— "Passkey technology is elegant, but it’s most definitely not usable security" https://arstechnica.com/security/2024/12/passkey-technology-is-elegant-but-its-most-definitely-not-usable-security/
¹³ NIST（2024-04-22）— "SP 800-63B Supplement 1: Incorporating Syncable Authenticators" https://csrc.nist.gov/pubs/sp/800/63/b/sup/final
¹⁴ Google Account Help（2026）— "Sign in with a passkey instead of a password" https://support.google.com/accounts/answer/13548313
¹⁵ ICISSP／arXiv（2025）— "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" https://arxiv.org/html/2501.07380v1
¹⁶ Electronic Frontier Foundation（2023-10-26）— "Passkeys and Privacy" https://www.eff.org/deeplinks/2023/10/passkeys-and-privacy
¹⁷ USENIX Security（2025）— "A Framework for Abusability Analysis: The Case of Passkeys in Interpersonal Threat Models" https://www.usenix.org/system/files/usenixsecurity25-daffalla.pdf
¹⁸ USENIX Security（2026）— "Maybe there’s only one passkey?: Challenges Investigating and Remediating Adversarial Passkeys" https://alaadaff.github.io/usenix26_passkeys_user_study.pdf
¹⁹ The Guardian（2026-04-24）— "What is a passkey, how does it work and why is it better than a password?" https://www.theguardian.com/technology/2026/apr/24/what-is-a-passkey-how-does-it-work-and-why-is-it-better-than-a-password
²⁰ The New York Times Wirecutter（2023-01-11）— "RIP, Passwords. Here's What's Coming Next." https://www.nytimes.com/wirecutter/blog/what-are-passkeys-and-how-they-can-replace-passwords/
十、登入的下一步，是盤點而不是衝刺
通行金鑰的推廣很容易被理解成一次性的安全升級：按下建立、掃過臉部，事情就結束。但從帳戶管理角度看，它更接近一次盤點的起點。使用者應先辨識自己最不能失去的帳戶：主要電子郵件往往是其他服務寄送重設連結的地方；雲端相簿、通訊軟體與金融帳戶則可能承載私人資料、關係與金錢。不同帳戶的損失代價不一樣，能承受的便利與備援成本也不同。
盤點時可以把問題具體化。第一，帳戶內是否顯示所有已登錄的通行金鑰，能否辨認它們屬於哪台裝置？第二，是否仍有舊密碼、簡訊或備援電子郵件可觸發登入或復原？第三，若主手機與門號同時遺失，是否還有另一部受信任裝置、離線復原碼或能聯絡的支援程序？第四，家人、同事或前任伴侶是否曾在共用裝置上登入，且帳戶頁面能否清楚撤銷其存取？這些不是要所有人立刻購買硬體安全金鑰，而是要讓每個人知道帳戶安全的邊界在哪裡。
媒體對通行金鑰的報導往往從「不用記密碼」開始，這是合理的消費者入口；BBC、AP 與《衛報》也都強調它的便利與抗釣魚特性¹⁰¹¹¹⁹。但安全體驗真正的測驗通常不在平常登入，而在換機、旅行、帳戶被提醒有異常活動，或需要替別人協助復原的時候。若服務把管理功能藏得太深，使用者在最緊張的時刻仍會回到猜密碼、點陌生連結或求助不明客服的老路。 （以下為分析，非事實陳述） 因此，較穩健的採用順序是小範圍試用、確認同步與復原、再擴展到重要帳戶；不要把「少打一組密碼」誤當作「少一份責任」。通行金鑰能讓人不必把安全建立在超人的記憶與永不受騙上，這正是它的價值。可是它要求的是另一種較安靜的能力：知道自己的憑證在哪裡，知道誰握有帳戶的最後一道入口，並在生活平靜時留下可驗證的備援。
引用來源
¹ UK National Cyber Security Centre（2026-04）— "Passkeys: what you need to know" https://www.ncsc.gov.uk/passkeys
² UK National Cyber Security Centre（2025-01-15）— "Passkeys: they're not perfect but they're getting better" https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better
³ FIDO Alliance（2024-10-11）— "FIDO Passkeys: Passwordless Authentication" https://fidoalliance.org/passkeys/
⁴ Apple Developer（2026）— "Passkeys Overview" https://developer.apple.com/passkeys/
⁵ Google for Developers（2026）— "Passkeys" https://developers.google.com/identity/passkeys
⁶ Microsoft Learn（2026）— "Passkeys (FIDO2) authentication method in Microsoft Entra ID" https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
⁷ Reuters（2023-10-06）— "Hackers advertise sale of 23andMe data on leaked data forum" https://www.reuters.com/technology/hackers-advertise-sale-23andme-data-leaked-data-forum-2023-10-06/
⁸ MDN Web Docs（2026）— "Passkeys" https://developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys
⁹ Google for Developers（2026）— "Server-side passkey authentication" https://developers.google.com/identity/passkeys/developer-guides/server-authentication
¹⁰ BBC News（2026-04-24）— "UK cyber chiefs say it's time to ditch passwords for passkeys" https://www.bbc.com/news/articles/cq8wnzly5j5o
¹¹ AP News（2024-11-14）— "One Tech Tip: Replacing passwords with passkeys for an easier login experience" https://apnews.com/article/google-apple-passkey-password-cybersecurity-e058dbdd304ff90c9b49499cd121bb88
¹² Ars Technica（2024-12-30）— "Passkey technology is elegant, but it’s most definitely not usable security" https://arstechnica.com/security/2024/12/passkey-technology-is-elegant-but-its-most-definitely-not-usable-security/
¹³ NIST（2024-04-22）— "SP 800-63B Supplement 1: Incorporating Syncable Authenticators" https://csrc.nist.gov/pubs/sp/800/63/b/sup/final
¹⁴ Google Account Help（2026）— "Sign in with a passkey instead of a password" https://support.google.com/accounts/answer/13548313
¹⁵ ICISSP／arXiv（2025）— "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" https://arxiv.org/html/2501.07380v1
¹⁶ Electronic Frontier Foundation（2023-10-26）— "Passkeys and Privacy" https://www.eff.org/deeplinks/2023/10/passkeys-and-privacy
¹⁷ USENIX Security（2025）— "A Framework for Abusability Analysis: The Case of Passkeys in Interpersonal Threat Models" https://www.usenix.org/system/files/usenixsecurity25-daffalla.pdf
¹⁸ USENIX Security（2026）— "Maybe there’s only one passkey?: Challenges Investigating and Remediating Adversarial Passkeys" https://alaadaff.github.io/usenix26_passkeys_user_study.pdf
¹⁹ The Guardian（2026-04-24）— "What is a passkey, how does it work and why is it better than a password?" https://www.theguardian.com/technology/2026/apr/24/what-is-a-passkey-how-does-it-work-and-why-is-it-better-than-a-password
²⁰ The New York Times Wirecutter（2023-01-11）— "RIP, Passwords. Here's What's Coming Next." https://www.nytimes.com/wirecutter/blog/what-are-passkeys-and-how-they-can-replace-passwords/
十一、從網頁標準到日常提示的時間線
回看時間線，WebAuthn 在 2018 年已被《衛報》報導為欲取代密碼的網頁驗證標準；2022 年 Apple、Google 與 Microsoft 宣布擴大支援 FIDO；2023 年 Google 開始讓帳戶使用通行金鑰；到 2026 年，NCSC 才把「可用時優先使用」寫成面向大眾的建議¹⁹²⁰²¹⁵¹。這條線說明技術標準成熟與日常介面成熟不是同一件事。使用者現在看到的提示，是長年協議、瀏覽器與平台整合的結果；而跨平台、撤銷與復原仍在持續調整。
引用來源
¹ UK National Cyber Security Centre（2026-04）— "Passkeys: what you need to know" https://www.ncsc.gov.uk/passkeys
² UK National Cyber Security Centre（2025-01-15）— "Passkeys: they're not perfect but they're getting better" https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better
³ FIDO Alliance（2024-10-11）— "FIDO Passkeys: Passwordless Authentication" https://fidoalliance.org/passkeys/
⁴ Apple Developer（2026）— "Passkeys Overview" https://developer.apple.com/passkeys/
⁵ Google for Developers（2026）— "Passkeys" https://developers.google.com/identity/passkeys
⁶ Microsoft Learn（2026）— "Passkeys (FIDO2) authentication method in Microsoft Entra ID" https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
⁷ Reuters（2023-10-06）— "Hackers advertise sale of 23andMe data on leaked data forum" https://www.reuters.com/technology/hackers-advertise-sale-23andme-data-leaked-data-forum-2023-10-06/
⁸ MDN Web Docs（2026）— "Passkeys" https://developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys
⁹ Google for Developers（2026）— "Server-side passkey authentication" https://developers.google.com/identity/passkeys/developer-guides/server-authentication
¹⁰ BBC News（2026-04-24）— "UK cyber chiefs say it's time to ditch passwords for passkeys" https://www.bbc.com/news/articles/cq8wnzly5j5o
¹¹ AP News（2024-11-14）— "One Tech Tip: Replacing passwords with passkeys for an easier login experience" https://apnews.com/article/google-apple-passkey-password-cybersecurity-e058dbdd304ff90c9b49499cd121bb88
¹² Ars Technica（2024-12-30）— "Passkey technology is elegant, but it’s most definitely not usable security" https://arstechnica.com/security/2024/12/passkey-technology-is-elegant-but-its-most-definitely-not-usable-security/
¹³ NIST（2024-04-22）— "SP 800-63B Supplement 1: Incorporating Syncable Authenticators" https://csrc.nist.gov/pubs/sp/800/63/b/sup/final
¹⁴ Google Account Help（2026）— "Sign in with a passkey instead of a password" https://support.google.com/accounts/answer/13548313
¹⁵ ICISSP／arXiv（2025）— "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" https://arxiv.org/html/2501.07380v1
¹⁶ Electronic Frontier Foundation（2023-10-26）— "Passkeys and Privacy" https://www.eff.org/deeplinks/2023/10/passkeys-and-privacy
¹⁷ USENIX Security（2025）— "A Framework for Abusability Analysis: The Case of Passkeys in Interpersonal Threat Models" https://www.usenix.org/system/files/usenixsecurity25-daffalla.pdf
¹⁸ USENIX Security（2026）— "Maybe there’s only one passkey?: Challenges Investigating and Remediating Adversarial Passkeys" https://alaadaff.github.io/usenix26_passkeys_user_study.pdf
¹⁹ The Guardian（2026-04-24）— "What is a passkey, how does it work and why is it better than a password?" https://www.theguardian.com/technology/2026/apr/24/what-is-a-passkey-how-does-it-work-and-why-is-it-better-than-a-password
²⁰ The New York Times Wirecutter（2023-01-11）— "RIP, Passwords. Here's What's Coming Next." https://www.nytimes.com/wirecutter/blog/what-are-passkeys-and-how-they-can-replace-passwords/
最後還有一個簡單但容易被忽略的習慣：每次建立通行金鑰後，都要在另一個可用裝置實際登入一次，並回到帳戶安全頁確認它出現在清單中。這個短暫測試不會保證未來的復原成功，卻能及早發現金鑰只存在於單一裝置、同步沒有開啟或服務的命名令人難以辨識等問題。把測試安排在平靜的日子，通常比在遺失手機後才理解流程安全得多。
引用來源
¹ UK National Cyber Security Centre（2026-04）— "Passkeys: what you need to know" https://www.ncsc.gov.uk/passkeys
² UK National Cyber Security Centre（2025-01-15）— "Passkeys: they're not perfect but they're getting better" https://www.ncsc.gov.uk/blog-post/passkeys-not-perfect-getting-better
³ FIDO Alliance（2024-10-11）— "FIDO Passkeys: Passwordless Authentication" https://fidoalliance.org/passkeys/
⁴ Apple Developer（2026）— "Passkeys Overview" https://developer.apple.com/passkeys/
⁵ Google for Developers（2026）— "Passkeys" https://developers.google.com/identity/passkeys
⁶ Microsoft Learn（2026）— "Passkeys (FIDO2) authentication method in Microsoft Entra ID" https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
⁷ Reuters（2023-10-06）— "Hackers advertise sale of 23andMe data on leaked data forum" https://www.reuters.com/technology/hackers-advertise-sale-23andme-data-leaked-data-forum-2023-10-06/
⁸ MDN Web Docs（2026）— "Passkeys" https://developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys
⁹ Google for Developers（2026）— "Server-side passkey authentication" https://developers.google.com/identity/passkeys/developer-guides/server-authentication
¹⁰ BBC News（2026-04-24）— "UK cyber chiefs say it's time to ditch passwords for passkeys" https://www.bbc.com/news/articles/cq8wnzly5j5o
¹¹ AP News（2024-11-14）— "One Tech Tip: Replacing passwords with passkeys for an easier login experience" https://apnews.com/article/google-apple-passkey-password-cybersecurity-e058dbdd304ff90c9b49499cd121bb88
¹² Ars Technica（2024-12-30）— "Passkey technology is elegant, but it’s most definitely not usable security" https://arstechnica.com/security/2024/12/passkey-technology-is-elegant-but-its-most-definitely-not-usable-security/
¹³ NIST（2024-04-22）— "SP 800-63B Supplement 1: Incorporating Syncable Authenticators" https://csrc.nist.gov/pubs/sp/800/63/b/sup/final
¹⁴ Google Account Help（2026）— "Sign in with a passkey instead of a password" https://support.google.com/accounts/answer/13548313
¹⁵ ICISSP／arXiv（2025）— "Device-Bound vs. Synced Credentials: A Comparative Evaluation of Passkey Authentication" https://arxiv.org/html/2501.07380v1
¹⁶ Electronic Frontier Foundation（2023-10-26）— "Passkeys and Privacy" https://www.eff.org/deeplinks/2023/10/passkeys-and-privacy
¹⁷ USENIX Security（2025）— "A Framework for Abusability Analysis: The Case of Passkeys in Interpersonal Threat Models" https://www.usenix.org/system/files/usenixsecurity25-daffalla.pdf
¹⁸ USENIX Security（2026）— "Maybe there’s only one passkey?: Challenges Investigating and Remediating Adversarial Passkeys" https://alaadaff.github.io/usenix26_passkeys_user_study.pdf
¹⁹ The Guardian（2026-04-24）— "What is a passkey, how does it work and why is it better than a password?" https://www.theguardian.com/technology/2026/apr/24/what-is-a-passkey-how-does-it-work-and-why-is-it-better-than-a-password
²⁰ The New York Times Wirecutter（2023-01-11）— "RIP, Passwords. Here's What's Coming Next." https://www.nytimes.com/wirecutter/blog/what-are-passkeys-and-how-they-can-replace-passwords/