在向无密码认证的持续转变中，WebAuthn 已成为全球标准。基于公钥密码学，WebAuthn 正在改变用户登录网站和应用的方式，无需传统密码。随着主要平台开始采用 Passkeys（WebAuthn 的面向用户版本），这一标准正在迅速成为安全数字身份的基石。
什么是 WebAuthn，它是如何工作的？
WebAuthn（Web Authentication API 的缩写）是由 W3C 和 FIDO 联盟开发的 FIDO2 项目的一部分。它不依赖用户名和密码，而是使用公私钥对。
在注册过程中，用户设备会生成唯一的密钥对。私钥安全存储在设备上，并受生物识别或 PIN 保护，公钥则存储在网站服务器上。登录时，网站向设备发送一个加密挑战，设备用私钥对其签名，服务器再用公钥验证。
这意味着凭证不会被重复使用或共享，也无法被钓鱼或盗取。
为什么 WebAuthn 比密码更安全？
WebAuthn 解决了密码的多种漏洞：
抗钓鱼攻击，因为凭证绑定到特定网站域名。
消除暴力破解和凭证填充攻击，因为没有可猜的密码。
内置多因素认证，将设备所有权与生物识别或 PIN 结合。
WebAuthn 如何改善用户体验？
对用户来说，WebAuthn 免去了记复杂密码或重置忘记密码的麻烦。登录只需几秒钟，通过指纹或面部识别即可完成。Passkeys 还可以在设备间同步，使跨平台的安全登录更加便捷。
最新的采用趋势是什么？
到 2024 年末和 2025 年，WebAuthn 已在操作系统、浏览器和设备上得到几乎全面支持。实施 Passkeys 的公司报告账户接管欺诈显著下降，有些案例下降幅度达到 98%。开发者也在探索 WebAuthn PRF 扩展等高级功能，使加密与凭证直接绑定。
在整个行业中，各国政府和网络安全机构都在推动 WebAuthn 的采用，加速摆脱密码的进程。
结论
WebAuthn 不只是登录系统的升级，它是在线安全的根本性转变。凭借抗钓鱼能力、流畅的用户体验和日益增长的全球采用率，WebAuthn 被认为是认证的未来。随着 Passkeys 成为各平台的默认选项，密码时代正逐渐结束。
