在轉向無密碼認證的持續轉變中，WebAuthn 已成為全球標準。基於公鑰密碼學，WebAuthn 正在改變使用者登入網站和應用程式的方式，而無需傳統密碼。隨著主要平台開始採用 Passkeys（WebAuthn 的使用者版本），這項標準正迅速成為安全數位身分的基石。
什麼是 WebAuthn，它是如何運作的？
WebAuthn（Web Authentication API 的縮寫）是由 W3C 和 FIDO 聯盟開發的 FIDO2 專案的一部分。它不依賴用戶名和密碼，而是使用公私鑰對。
在註冊過程中，使用者裝置會產生唯一的金鑰對。私鑰安全儲存在裝置上，並受生物識別或 PIN 保護，公鑰則儲存在網站伺服器上。登入時，網站會向裝置發送加密挑戰，裝置用私鑰對其簽名，伺服器再用公鑰驗證。
這意味著憑證不會重複使用或分享，也無法被釣魚或盜取。
為什麼 WebAuthn 比密碼更安全？
WebAuthn 解決了密碼的多種漏洞：
抗釣魚攻擊，因為憑證綁定到特定網站域名。
消除暴力破解和憑證填充攻擊，因為沒有可猜測的密碼。
內建多因素認證，將設備所有權與生物辨識或 PIN 結合。
WebAuthn 如何改善使用者體驗？
對使用者來說，WebAuthn 免去了記複雜密碼或重置忘記密碼的麻煩。登入只需幾秒鐘，透過指紋或臉部辨識即可完成。 Passkeys 還可以在裝置間同步，讓跨平台的安全登入更加便利。
最新的採用趨勢是什麼？
到 2024 年底和 2025 年，WebAuthn 已在作業系統、瀏覽器和裝置上幾乎全面支援。實施 Passkeys 的公司報告帳戶接管詐欺顯著下降，有些案例下降幅度達到 98%。開發者也正在探索 WebAuthn PRF 擴充功能等進階功能，使加密與憑證直接綁定。
在整個產業中，各國政府和網路安全機構都在推動 WebAuthn 的採用，加速擺脫密碼的進程。
結論
WebAuthn 不只是登入系統的升級，它是線上安全的根本性轉變。憑藉抗釣魚能力、流暢的用戶體驗和日益增長的全球採用率，WebAuthn 被認為是認證的未來。隨著 Passkeys 成為各平台的預設選項，密碼時代正逐漸結束。
