簡介
密碼是更安全簡便的替代密碼。使用者可以透過密碼金鑰，使用生物特徵辨識感應器 (例如指紋或臉部辨識)、PIN 碼或解鎖圖案登入應用程式和網站，不必記住及管理密碼。
密碼金鑰可在單一步驟中取代密碼和雙重驗證。使用者體驗可能與自動填入密碼表單一樣簡單。與簡訊或應用程式動態密碼不同，密碼金鑰可以有效防範網路詐騙攻擊。由於密碼金鑰是標準化的，因此單一實作可在不同的瀏覽器和作業系統上提供無密碼體驗。
什麼是密碼金鑰？
密碼金鑰是綁定使用者帳戶和網站或應用程式的數位憑證。密碼金鑰可讓使用者直接輸入驗證，無需輸入使用者名稱、密碼，或提供任何其他驗證機制。這項技術旨在取代密碼等舊版驗證機制。
當使用者想要登入使用密碼金鑰的服務時，他們的瀏覽器或作業系統將協助他們選取並使用正確的密碼金鑰。這與目前儲存密碼的運作方式類似。為確保只有合適的擁有者可以使用密碼金鑰，系統會要求他們解鎖裝置。這可能是透過生物特徵辨識感應器 (例如指紋或臉部辨識)、PIN 碼或圖案執行。
如要為網站或應用程式建立密碼金鑰，使用者必須先向該網站或應用程式註冊。
- 前往應用程式，然後使用現有的登入方式登入。
- 按一下 [建立密碼金鑰] 按鈕。
- 查看新密碼金鑰中儲存的資訊。
- 使用裝置螢幕解鎖建立密碼金鑰。
當他們返回這個網站或應用程式登入時，可以執行下列步驟：
- 前往應用程式。
- 按一下 [登入]。
- 選取對方的密碼金鑰。
- 使用裝置的螢幕解鎖功能完成登入程序。
使用者的裝置會根據密碼金鑰產生簽名。此簽章可用來驗證來源與密碼金鑰之間的登入憑證。
無論使用何種金鑰，使用者都可以透過密碼金鑰在任何裝置上登入服務。舉例來說，在手機上建立的密碼金鑰可用於在另一部筆電上登入網站。
密碼金鑰如何運作？
密碼金鑰旨在透過作業系統基礎架構使用，可讓密碼金鑰管理員建立、備份，以及為在該作業系統上執行的應用程式提供密碼金鑰。在 Android 版 Chrome 上，密碼金鑰儲存在 Google 密碼管理員中，其會在使用者登入相同 Google 帳戶的使用者 Android 裝置之間同步處理密碼金鑰。
使用者不必設定密碼金鑰，就能將密碼金鑰用於儲存的裝置。不過，即使手機未與筆記型電腦同步，只要手機就在筆電附近，且使用者允許在手機上登入時，就可以使用儲存在手機中的密碼金鑰。由於密碼金鑰是以 FIDO 標準為基礎，因此所有瀏覽器都可採用。
舉例來說，某位使用者透過 Chromebook 造訪 example.com。這位使用者先前已在自己的 iOS 裝置上登入 example.com，並產生密碼金鑰。在 Chromebook 上，使用者選擇使用其他裝置的密碼金鑰登入。系統會連結兩部裝置，並提示使用者在 iOS 裝置上使用密碼金鑰 (例如 FaceID)。完成上述步驟後，使用者就會登入 Chromebook。請注意，密碼金鑰本身不會轉移到 Chromebook，所以 example.com 通常會提供在其建立新的密碼金鑰。這樣一來，使用者下次登入時就不用登入。詳情請參閱使用手機登入帳戶一文。
隱私權考量
- 如果網站或應用程式中出現生物特徵辨識驗證，且認為傳送機密資訊給伺服器，有些使用者可能會感到驚訝。使用密碼金鑰時，使用者的生物特徵辨識資訊絕不會透露給網站或應用程式。生物特徵辨識材料絕不會離開使用者的個人裝置。
- 密碼金鑰本身無法追蹤使用者或不同網站之間的裝置。相同的密碼永遠不會用於多個網站。密碼編譯通訊協定經過精心設計，因此所有與網站分享的資訊都不能做為追蹤向量使用。
- 密碼金鑰管理工具可保護密碼金鑰遭到未經授權存取及使用。例如，Google 密碼管理工具會透過端對端加密密碼金鑰密鑰。只有使用者可以存取和使用這些資料，即使已備份至 Google 的伺服器，Google 也無法用來模擬這類使用者。
安全性考量
- 密碼金鑰使用公開金鑰加密編譯。公開金鑰密碼編譯功能可降低潛在資料外洩的風險。當使用者使用網站或應用程式建立密碼金鑰時，就會在使用者裝置上產生公開的私密金鑰組。網站只會儲存公開金鑰，但攻擊者只會對這組金鑰進行測試。攻擊者不能從儲存在伺服器中的資料取得使用者的私密金鑰，這是完成驗證程序所需要的資料。
- 由於密碼金鑰繫結至網站或應用程式的身分，因此可以防範網路詐騙攻擊。瀏覽器和作業系統可確保密碼金鑰只能與建立金鑰的網站或應用程式搭配使用。使用者不必自行登入真正的網站或應用程式。
接收通知
訂閱 Google 密碼金鑰開發人員電子報，即可接收密碼金鑰更新通知。
後續步驟
- 瞭解如何在網路上建立無密碼登入的密碼
- 瞭解如何讓使用者在網站上透過表單自動填入功能使用密碼金鑰登入
- 瞭解如何使用憑證管理員登入 Android 應用程式