通行密钥、无密码认证与抗钓鱼 MFA 的区别

1. 引言#

对于所有数字服务而言，用户认证是网络安全中最重要的环节。企业比以往更加依赖 Web 和移动应用与客户互动，对安全、易用的登录方案的需求也随之急剧增长。传统密码已成为安全隐患：它们容易被钓鱼窃取、遗忘或在多个服务中重复使用。这导致基于凭证的攻击和数据泄露增加，消费者信任也受到侵蚀。

近年来，新的认证方法不断涌现，有望提升安全性和用户体验。本文比较其中三种方式：通行密钥、更广义的无密码认证，以及抗钓鱼多因素认证（MFA）。我们将解释这些术语的确切含义，以及它们的区别、优势和战略影响。

本文旨在回答以下问题：

1. 通行密钥、无密码认证和抗钓鱼 MFA 的主要区别是什么？
2. 与传统密码相比，通行密钥、无密码认证和抗钓鱼 MFA 如何提升安全性？
3. 无密码认证、抗钓鱼 MFA 和通行密钥如何影响用户体验、采用率和运营成本？
4. 有哪些实际用例和组织成功实施通行密钥、无密码认证及抗钓鱼 MFA 的案例？

2. 核心概念解析#

在比较之前，我们需要先定义相关术语。无密码认证、抗钓鱼 MFA 和通行密钥都比传统方法有显著改进，但这些术语不能互换使用。

2.1 什么是无密码认证？#

无密码认证方法完全去除了传统密码。用户可以通过以下方式证明身份：

• 持有的东西（例如手机或安全密钥）
• 自身特征（生物识别因素）
• 通过电子邮件或短信发送的一次性验证码（也可视为持有的东西，例如接收短信需要手机）

其目的是减少对静态密码的依赖，因为密码容易泄露，使用起来也不方便。

常见的无密码方法包括：

• 电子邮件魔法链接
• 使用身份验证器应用生成的基于时间的一次性验证码（TOTP），例如 Google Authenticator、Authy 和 Microsoft Authenticator
• 推送通知（例如在原生 iOS 或 Android 应用中）
• 生物识别（例如通行密钥中的生物识别）
• 短信一次性验证码（OTP）
• 电子邮件一次性验证码（OTP）
• 社交账号登录（例如“使用 Google 登录”或“使用 Facebook 登录”）

无密码方法通常能改善用户体验并降低暴力破解攻击的风险，但并非所有方法都天然具有抗钓鱼能力。例如，如果用户受骗在钓鱼页面输入验证码，恶意网站仍可能截获魔法链接或短信 OTP。因此，无密码方法在安全性和易用性方面都有所改善，但有些仍容易受到社会工程攻击。

2.2 什么是抗钓鱼 MFA？#

基于 FIDO2 的硬件安全密钥（如 YubiKey）是抗钓鱼 MFA 的典型例子。这些密钥将认证过程绑定到合法来源，即真实网站的域名，从而确保用户的认证过程无法被重定向到虚假网站或在虚假网站上重放。攻击者无法获得私钥或可重复使用的秘密验证码。通行密钥也是如此。

不过，硬件安全密钥主要适合员工使用。组织可以向客户提供这一选项，但强制要求客户使用通常不现实，因为只有熟悉技术的用户才了解此类方案。普通用户可能难以理解和使用硬件密钥。

抗钓鱼 MFA 确保用户即使与欺诈网站交互，也不会无意中交出有效凭证。其安全设计使窃取的信息对攻击者毫无用处，或者从一开始就无法窃取这些信息。它依靠加密检查来验证网站的真实性，而不仅仅是验证用户身份。

CISA、ACSC 等监管机构越来越认可并推荐使用抗钓鱼 MFA 来保护敏感账户。采用此类标准可以帮助组织满足法律要求、降低责任风险，并在网络安全审计中证明已尽到应有的注意义务。

2.3 什么是通行密钥？#

通行密钥是基于 FIDO2 和 WebAuthn 等开放标准构建的现代认证凭证。它不依赖密码这样的共享秘密，而是使用非对称加密：

• 公钥（认证时发送给服务器）
• 私钥（始终保留在用户设备上，无需输入或记忆）

用户通过通行密钥注册账户时，设备会生成一对唯一的密钥。公钥发送至服务器并与用户账户关联，私钥则安全地保留在用户设备上。认证时，服务器发送一个挑战，设备使用私钥对其签名，从而证明用户身份，而无需透露任何可能被盗取的秘密。

通行密钥让用户不必记忆或管理繁琐的密码。认证通常只需进行一次生物识别验证，例如面部扫描或指纹识别，用户对这些手机解锁方式已经很熟悉。由于每个通行密钥都绑定到特定域名，钓鱼攻击无法得逞：攻击者无法诱骗用户提供可重复使用的凭证。高安全性与低操作阻力的结合，使通行密钥成为 Google、PayPal、TikTok 和 KAYAK 等众多企业的理想选择。

2.4 主要区别一览#

• **无密码认证（统称）：**完全去除密码，但不一定能抵御钓鱼攻击，具体取决于所用方法。
• **抗钓鱼 MFA（统称）：**通常确保来源绑定，但在多因素认证流程中有时仍会使用密码，例如密码加硬件安全密钥。
• **通行密钥：**既无需密码，又能抵御钓鱼攻击，依靠绑定到合法来源的非对称加密。

3. 无密码认证、抗钓鱼 MFA 与通行密钥的比较#

了解核心概念后，我们进一步比较通行密钥、无密码认证和抗钓鱼 MFA。这有助于判断哪种方法最符合安全要求、用户期望和组织的长期目标。我们将重点关注以下三个因素：

• 安全性
• 用户体验与采用率
• 实施与成本
• 监管与合规

3.1 安全性：凭证盗窃与来源绑定#

**安全性是摆脱传统密码的主要原因之一。**不过，这三种概念防范钓鱼或暴力破解等基于凭证的攻击的方式有所不同。

3.1.1 防范凭证盗窃#

• **无密码认证：**去除密码可显著降低暴力破解或密码重复使用的风险。但具体取决于所用方法，例如短信 OTP 或魔法链接，如果攻击者诱骗用户在钓鱼网站上输入或转发 OTP，仍可能存在一定风险。
• **抗钓鱼 MFA：**使用 FIDO2 安全密钥等方法，确保不共享可重复使用的秘密。即使攻击者获取了部分信息，例如公钥，没有对应的私钥，这些信息在加密意义上也毫无价值。
• **通行密钥：**由于通行密钥使用非对称加密，共享秘密不会离开用户设备。攻击者从服务器窃取的数据只有公钥；没有安全保存在本地的私钥，公钥也无法被利用。

3.1.2 防范钓鱼攻击#

• **无密码认证：**无密码认证是一个统称，因此不能保证始终防范钓鱼攻击。如果用户误将魔法链接或短信 OTP 输入欺诈网站，它们仍可能被截获。这使某些无密码方法在抵御复杂钓鱼攻击时不够可靠。
• **抗钓鱼 MFA：**其核心功能之一是在认证用户前确认合法域名。硬件安全密钥或通行密钥会验证网站的真实性，因为这些方法绑定到最初使用的来源，从而防止攻击者获取有效的秘密。
• **通行密钥：**通行密钥基于 FIDO2 和 WebAuthn，天然绑定来源。如果用户尝试在仿冒域名上认证，通行密钥将无法完成加密检查，从而有效阻止钓鱼攻击。

3.1.3 安全性总结#

通行密钥和抗钓鱼 MFA通过强大的加密来源绑定，并且不泄露机密信息，能够更有效地防范凭证盗窃和钓鱼攻击。

无密码方法相比普通密码仍是一大进步，但如果依赖可被截获的（T）OTP 或秘密信息，例如魔法链接中的秘密，其抗钓鱼能力就可能有所不同。

3.2 用户体验与采用率#

如果安全方法对终端用户来说过于繁琐，就难以发挥作用。流畅、直观的登录流程可以减少用户挫折感、降低支持成本并提高整体采用率。用户也不必寻找变通办法来使用该登录方式。

3.2.1 初次注册与设置#

• **无密码认证：**无密码注册通常比创建和记住新密码更容易。例如，通过电子邮件接收魔法链接或使用短信 OTP 验证，对用户来说可能比较熟悉，尽管会带来短暂延迟。
• **抗钓鱼 MFA：**如果使用硬件安全密钥，注册过程可能需要分发实体密钥或安装专用软件。不过，设置完成后，日常登录可能只需轻触已插入设备或置于设备附近的密钥。
• **通行密钥：**设置流程通常较为简便，用户大多只需在设备上快速完成指纹或面部扫描等生物识别验证，即可注册通行密钥。

3.2.2 日常登录阻力#

• **无密码认证：**去除密码本身就大幅提升了易用性，因为用户不必记忆密码、从密码管理器中提取密码，也不必将密码写在便签上。不过，如果用户需要切换应用来获取验证码或链接，OTP 和魔法链接等方法就可能增加操作阻力。
• **抗钓鱼 MFA：**如果硬件安全密钥已插入设备或置于设备附近，操作就相当简单。但用户通常仍需按下按钮，或者记住并输入 PIN 码。如果抗钓鱼 MFA 使用通行密钥，体验则更加流畅。
• **通行密钥：**操作阻力通常很小：用户通过 Face ID、Touch ID 或 Windows Hello 等设备生物识别功能解锁设备，其余步骤由通行密钥处理。这让登录变得近乎不费力。

3.2.3 感知复杂度与信任#

• **无密码认证：**对于厌烦重置密码的用户来说，“无需密码”的方式很有吸引力。
• **抗钓鱼 MFA：**安全性很高，但如果需要硬件安全密钥，新用户可能觉得复杂。
• **通行密钥：**习惯使用生物识别解锁手机的用户通常会觉得通行密钥是熟悉的技术。用户对 Apple、Google 和 Microsoft 生态系统的信任也有助于推动采用。

3.2.4 用户体验与采用率总结#

无密码方法，尤其是生物识别，易于使用。抗钓鱼 MFA部署后可以很方便，但在某些场景下，硬件要求可能让人觉得负担较重。通行密钥通常能提供最便捷的用户体验。

3.3 实施与成本#

除了安全性和用户体验，集成复杂度、支持工作量和直接成本等实际因素也会影响方案能否大规模应用。

3.3.1 与现有系统集成#

• **无密码认证：**短信 OTP 或魔法链接等方法相对容易实施，但每种方式都需要一些定制逻辑，例如生成和验证令牌、发送电子邮件或短信。
• **抗钓鱼 MFA：**部署 YubiKey 等硬件安全密钥可能更加繁琐，组织必须规划密钥分发、恢复流程和用户培训。不过，基于 FIDO 的整体技术栈已经相当成熟。
• **通行密钥：**部署通行密钥可能面临挑战，因为它需要广泛的生态系统支持，包括设备兼容性、浏览器集成和用户教育。

3.3.2 成本与投资回报率（ROI）#

• **无密码认证：**去除密码可以节省服务台运营成本，但某些方法，尤其是短信，可能产生单次交易费用。基于魔法链接的流程需要可靠的电子邮件基础设施。身份验证器应用（TOTP）和推送通知则需要安装专用应用，并进行相应开发。
• **抗钓鱼 MFA：**涉及硬件时，前期成本通常最高，但它能提供强大的抗钓鱼保护。对于高价值账户，一次数据泄露的损失可能远超硬件安全密钥的费用。
• **通行密钥：**完成初期开发后，通行密钥可以减少密码重置工单，而这类工单是 IT 支持中最大的隐性成本之一。通行密钥还能减少账户接管事件，直接改善财务表现。此外，它们可以替代绝大多数成本高昂的短信 OTP。

3.3.3 实施与成本总结#

无密码方法通常比密码更简单，但持续成本差异很大。抗钓鱼 MFA的大规模部署可能更昂贵、更复杂，尤其是涉及硬件安全密钥时，需要购买和分发专用硬件。通行密钥的实施也面临挑战，因为技术要求复杂，而且需要跨平台兼容。

3.4 监管与合规#

许多法规或要求现在明确建议或规定使用强认证和抗钓鱼认证，例如欧洲金融领域的 PSD2 和医疗保健领域的 HIPAA。

• **无密码认证：**可能满足某些合规要求，例如“必须使用 2FA 或 MFA”，但具体方法不一定能抵御钓鱼攻击。
• **抗钓鱼 MFA：**往往能为审计人员和监管机构提供最高程度的保障，满足严格的安全登录要求。
• **通行密钥：**已经符合 FIDO2 标准，该标准满足或超过大多数受监管行业的安全要求。

3.5 对比表#

4. 实际案例与应用场景#

4.1 电商企业 Mercari 使用通行密钥提升登录成功率#

Mercari 过去依靠短信一次性验证码保护用户登录和验证交易。这种方式需要向全球发送短信，费用高昂，用户也偶尔会因验证码延迟或未收到而投诉。

成果：

• **大幅降低成本：**通过减少大部分短信流量，Mercari 大幅削减了与 OTP 相关的短信费用。
• **提升安全性：**通行密钥使用绑定到航空公司合法域名的非对称加密，因此能够抵御 SIM 卡交换攻击和钓鱼攻击。
• **更多登录成功：**采用通行密钥后，登录成功率达到 82.5%，而短信 OTP 的成功率为 67.7%。

关键启示：
对于用户登录量大的组织，转向通行密钥可能带来重大改变。除了提升安全性，节省的短信 OTP 费用也能显著改善财务表现。

4.2 SaaS 初创企业使用魔法链接简化无密码注册#

SaaS 初创企业经常使用魔法链接，因为这种认证方式能让用户快速完成注册，并大幅减少因忘记密码而产生的支持请求。

成果：

• **降低注册阻力：**注册过程中的用户流失率下降超过 30%，提高了转化率。
• **减少支持工单：**密码重置咨询大幅减少，使初创企业的小型支持团队能够专注于产品相关问题。
• **灵活迭代：**魔法链接相对容易实施和完善，因此可以轻松调整流程，提高整体注册体验满意度。

关键启示：
对于 SaaS 初创企业，魔法链接等无密码方案不仅简化了用户注册，还减轻了密码管理的运营负担，这在早期增长阶段尤为重要。

4.3 MyGov 提升公民账户安全性并防范钓鱼攻击#

MyGov 是澳大利亚政府在线门户，提供多项政府服务，例如 Medicare、Centrelink 和澳大利亚税务局服务。由于处理敏感个人数据，MyGov 受到严格监管和更高程度的公众监督。

成果：

• **用户采用率增长：**通行密钥推出后，3 个月内覆盖 20 万用户。
• **强化合规：**通过使用加密来源绑定，包括硬件令牌和安全的应用认证方案，MyGov 满足了 ASD Essential Eight 和其他国家网络安全指令的要求。
• **减少钓鱼事件：**没有合法的硬件令牌或设备绑定密钥，被盗凭证就更难被重复利用。
• **提升公众信任：**在公众日益关注数据泄露的背景下，突出可靠的 MFA 方案有助于增强用户信心。

关键启示：
对于政府机构、公共部门企业或受到严格监管的行业组织而言，实施抗钓鱼 MFA 不仅对安全至关重要，也有助于持续符合不断变化的标准。

5. Corbado 如何提供帮助#

第 3.5 节的表格对三种方案进行了抽象评分。真正能帮助决策的版本应基于实际登录情况：行代表用户真正使用的方法，分数则是完成率，而不是五分制评分。Corbado Observe 认证可观测性平台可以生成这样的结果。

• **实际使用的认证方法组合。**每次登录都会归入不同子流程：密码、通行密钥、社交账号登录、短信一次性验证码、电子邮件一次性验证码、TOTP 和应用确认。各方法的登录占比和成功率，是在本文三类方案之间做出选择的可靠起点。
• **各方法在哪些环节导致用户流失。**Login Friction 将每次已开始的登录分为恢复、切换到其他方法、中止、错误、重置和顺利完成等类别，并按方法细分，让“无密码认证减少操作阻力”变成基于实际流量的统计数据。
• **抗钓鱼方案相对于其他方法的价值。**Method Uplift 根据每次登录可用的方法对流程分类，包括仅密码、密码加通行密钥、密码加社交账号，以及三者同时可用，并以仅密码的基准评估每种组合。所有组合都在同一时间窗口内衡量，因此无需等待切换日期进行跨时期比较，就能针对产品评估第 3.2 节讨论的采用率问题。
• **无需先推出通行密钥计划。**Observe 可以用于现有登录流程。如果当前使用密码加短信验证码，它就会分别衡量密码和短信验证码，而这正是本文大多数决策的实际起点。

See Login Methods in Corbado Observe →

如果最终决定采用通行密钥，Corbado Connect 负责具体部署。受条件控制的提示和 Passkey Intelligence 通过控制哪些用户在何时看到提示，将第 3.2 节所述的用户体验优势转化为最高 10 倍的通行密钥采用率。

6. 结论#

在探讨传统密码、通行密钥、无密码方案和抗钓鱼 MFA 后，我们来总结这些认识。

每种方法都有独特的优势：

• **无密码认证：**相比密码是一项重大改进，能减少用户操作阻力和支持成本，但并非总能防范钓鱼攻击。
• **抗钓鱼 MFA：**为高风险环境提供高水平安全保障，确保攻击者无法利用人为错误。
• **通行密钥：**兼顾多方面优势：无需密码、天然具备抗钓鱼 MFA 能力，并得到行业先驱的支持。它在提供顶级安全性的同时，不牺牲用户体验。

现在采取行动升级认证，不仅能提升安全性，也能让企业成为具有前瞻性、以用户为中心的组织，为在数字经济中取得成功做好准备。

关于 Corbado

Corbado 是面向大规模运行 consumer 身份验证的 CIAM 团队的Passkey Intelligence Platform。我们让你看到 IDP 日志和通用 analytics 工具看不到的内容：哪些设备、操作系统版本、浏览器和 credential manager 支持 passkey，为什么注册没有转化为登录，WebAuthn 流程在哪里失败，以及什么时候操作系统或浏览器更新会悄悄破坏登录，而且无需替换 Okta、Auth0、Ping、Cognito 或你自有的 IDP。两款产品：Corbado Observe 提供 针对 passkey 及任何其他登录方式的 observability。Corbado Connect 提供 内置 analytics 的 managed passkey（与你的 IDP 并存）。VicRoads 通过 Corbado 为 500 万以上用户运行 passkey（passkey 激活率 80%+）。 与 Passkey 专家交谈 →