无密码认证并不是取消认证，而是把认证依据从共享秘密改为密钥对。用户设备持有私钥，服务端保存公钥，认证时通过签名验证身份。私钥不出设备，因此不存在被钓鱼页面骗走的可能，也不需要用户记忆复杂口令。
FIDO2是底层标准，包含两部分：一部分定义客户端与认证器之间的交互协议，另一部分定义浏览器与依赖方之间的接口。它支持两种认证器形态，一种是可以跨设备使用的漫游型硬件密钥，另一种是内置于设备的平台型认证器。
Passkey是在这一标准之上构建的易用形态，支持在设备间同步或通过附近设备验证，解决了以往硬件密钥容易丢失、换设备困难的体验问题。它更适合普通员工的大规模部署。
生物识别通常作为平台认证器的解锁方式，而不是独立的认证因素。指纹或面部信息保存在本地芯片中，不传输到服务端，起的是解锁私钥的作用。
第一，保留备用认证方式。用户可能更换设备或丢失设备，需要设计可靠的恢复流程，同时避免恢复流程成为新的攻击入口。
第二，评估终端兼容性。部分老旧终端或特殊系统可能不支持标准接口，需要提前测试。
第三，区分安全等级。高敏感系统可以要求必须使用硬件密钥，一般系统可以允许平台认证器，避免一刀切影响体验。
第四，做好账号绑定管理。把认证器与员工身份关联，在离职流程中及时解绑，避免认证器被离职人员继续使用。
第五，配套日志与告警。记录认证器的注册、变更和注销行为，对异常注册保持关注。
无密码认证在抗钓鱼能力上具备结构性优势，适合逐步替换传统口令加验证码的组合。建议从管理员和特权账号开始试点，再向全员推广。
售后客服
企业微信
