与会者参加了本次网络直播，聆听 FIDO 联盟用户体验工作组成员的意见，探讨了从初始用户入门到无缝跨设备同步的大规模设计和部署密钥时的关键用户体验考虑因素。

来自 Google、Microsoft 和 HID 的演讲者讨论了如何应对为日常用户简化复杂安全概念的挑战，并获得对身份验证未来的宝贵见解。

演讲者分享了有关影响密钥采用的关键用户体验决策、用户研究结果和设计策略的见解，以及 FIDO 联盟如何努力使在线安全既强大又轻松。

密钥创建和登录的设计指南可在 https://www.passkeycentral.org/design-guidelines/

演讲者包括：

• James Hwang，Microsoft
• 米切尔·加拉万，谷歌
• 阿德里安·卡斯蒂略，HID

BSI 在一份新闻稿中 表示 ，该草案于 9 月 30 日发布，旨在征求相关利益相关者的意见。

BSI 表示， BSI TR-03188 密钥服务器指南在 0.9 版中作为草案提供。它是在 FIDO2 和 WebAuthn 标准等范围内起草的。

每个人都在研究一种替换密码的方法是有原因的。它们通常很容易猜到，很难记住，即使您有 密码管理器，每次数据泄露后更改它们也是一件很痛苦的事情。值得庆幸的是，快速在线身份 （FIDO） 联盟开发了密钥，这是一种新的身份验证技术，无需在网络上的登录字段中输入您的电子邮件地址或密码，并且它们越来越受欢迎。例如，Microsoft 在 8 月份从 其身份验证器应用程序中删除了密码 ，但保留了对密钥的支持。

First Credit Union 成立于 1955 年，是新西兰的一家会员制金融机构，拥有超过 60,000 名会员。该组织通过其全面的网上银行平台提供安全和创新的数字银行体验。会员通过移动应用程序和浏览器选项访问他们的帐户，以便随时随地管理财务。该信用合作社采用了尖端的身份验证技术，以增强其多元化会员基础的安全性和用户体验。

高管视角

“通过 Authsignal 实施 FIDO 身份验证改变了我们会员的数字体验。它安全、无缝，为网上银行的信任树立了新标准。– Herb Wulff，First Credit Union 财务和代理银行经理

业务挑战

作为一家进步的现代金融机构，第一信用合作社已经走上了数字化转型之路。作为其旅程的一部分，它确定了影响安全性和用户体验的几个关键挑战。

这些挑战包括：

• 网络安全风险。该组织希望减少对密码的依赖，密码是最常见的攻击媒介之一。First Credit Union 寻求防网络钓鱼身份验证方法，以减轻日益增长的安全威胁。
• 用户体验摩擦。传统的多因素身份验证方法经常在登录过程中产生摩擦。该信用合作社旨在让具有不同技术舒适度的会员能够无缝且直观地进行安全访问。
• 跨平台兼容性。会员可以跨不同的设备和作系统访问该平台。First Credit Union 需要一个在移动应用程序和网络浏览器中始终如一地运行的解决方案。
• 集成复杂性。新的身份验证解决方案必须与现有基础设施顺利集成。这种方法将最大限度地减少部署期间对内部团队和成员的干扰。

为什么第一信用合作社选择密钥

第一信用合作社对几种传统和新兴的身份验证方法进行了全面评估。目标是为其多元化的会员群在安全性、可用性和可访问性之间找到适当的平衡。

传统选择力不从心

该团队探索了多种多因素身份验证 （MFA） 方法，但发现每种方法都有明显的缺点。身份验证器应用程序可以增强安全性，但由于依赖一次性代码而存在可被利用的漏洞。他们还要求成员安装和管理单独的应用程序，这增加了复杂性和摩擦。电子邮件魔术链接提供了便利，但带来了可用性挑战以及网络钓鱼和电子邮件拦截风险的脆弱性。

设备凭据提供了更无缝的体验，但缺乏跨平台所需的基于标准的互作性。该信用合作社还考虑了独立的生物识别身份验证，但这些解决方案缺乏 FIDO 标准提供的强大安全保证和跨平台兼容性。

出现了一个关键的见解：提供过多的身份验证选项可能会让会员感到困惑，特别是考虑到他们的人群中的技术舒适度范围很广。碎片化的体验可能会导致挫败感、支持开销和采用率降低。

FIDO 提供了其他人无法做到的东西

FIDO 身份验证与替代方案不同，替代方案仍然存在网络钓鱼的重大漏洞，并且缺乏无缝的、基于标准的互作性。该技术具有引人注目的优势：

网络钓鱼防护消除了攻击者可以拦截或窃取的共享机密，例如密码或 OTP。无密码体验减少了会员的摩擦，同时使访问网上银行更快、更安全。FIDO2 规范确保跨各种设备和平台进行无缝身份验证，支持其应用程序和基于浏览器的服务。

该解决方案通过增强安全性和简化登录流程提高了会员的信任度和满意度。它还减少了密码重置和登录问题带来的支持开销，使团队能够更有效地分配资源并提高整体服务质量。

实施概述

First Credit Union 与 Authsignal 合作实施了 FIDO 认证的密钥基础设施。该团队遵循结构化的推出方法：

第一阶段：内部测试和验证

该组织进行了严格的内部测试，以验证跨移动和浏览器平台的密钥集成。这一阶段确保了技术稳定性和兼容性。

第二阶段：会员教育与沟通

第一信用合作社发起了一项有针对性的沟通活动，其中包括：

• 清晰地传达有关密钥优势的信息
• 分步设置和使用指南
• 全面的入职支持资源

第 3 阶段：逐步推出分支机构网络

该团队在整个分支机构网络中分阶段引入了密钥。这种方法允许性能监控、反馈收集和迭代改进。

第 4 阶段：监控和优化

发布后活动包括跟踪采用指标和身份验证使用模式。会员反馈推动了用户体验的改进。

结果和影响

自推出密钥以来，First Credit Union 取得了令人印象深刻的采用和安全成果：

采用指标

• 58.4%的会员采用了新的认证体验
• 现在，54.5% 的身份验证使用通行密钥
• 超过 23,500 名会员注册了多因素身份验证

会员体验

大多数成员提供了积极的反馈，理由是易用性和提高信任度。通行密钥通过面部和指纹识别等设备原生生物识别技术简化登录。会员可享受跨移动和网络平台的无缝体验。

运营优势

该组织减少了与密码相关的问题带来的支持开销。First Credit Union 通过防网络钓鱼身份验证增强了其安全态势。该基础设施现在符合全球标准，以备将来使用。

未来愿景

FIDO 身份验证是第一信用合作社长期数字安全战略的基石。该组织计划进行以下扩展：

• 安全交易身份验证：将密钥扩展到交易审批等高风险作
• 内部系统访问：为员工系统实施基于 FIDO 的身份验证
• 第三方集成：利用 FIDO 的互作性进行未来的服务集成

主要建议

First Credit Union 为考虑实施 FIDO 的组织提供了以下见解：

1. 了解您的用户群：评估会员的设备、数字习惯和舒适度，以适当定制体验

2. 简化体验：避免过多的身份验证选项让用户不知所措

3. 选择合适的合作伙伴：与提供密钥基础设施专业知识的值得信赖的提供商合作

4. 清晰沟通：通过清晰的好处信息和简单的设置指南尽早教育用户

5. 彻底测试：在面向会员的部署之前，跨平台进行全面的内部测试

与会者参加了本次网络直播，了解 FIDO 联盟标准和认证如何支持汽车行业向软件定义汽车、自动驾驶技术和互联服务过渡。这一转变带来了前所未有的创新和利用新商业模式（例如车载商务和订阅服务）的机会，但也带来了重大的网络安全威胁和用户体验挑战。

本次会议以 FIDO 联盟最近发布的白皮书《 应对汽车行业的网络安全挑战》为基础，探讨了 FIDO 联盟如何在使用密钥、FIDO 车载设备 （FDO） 以及现有和未来认证计划来应对这些挑战方面具有独特的优势。

观看演示：

下载 playbook 以了解：

• 不同类型的通行密钥以及如何为您的组织选择正确的选项
• 分阶段部署策略，可帮助您从小规模开始，自信地扩展并在整个组织中标准化通行密钥采用
• 由 FIDO 联盟数据支持的密钥的投资回报率

防网络钓鱼身份验证并不是一刀切的。这是一段旅程。填写表格以获取我们的 密钥手册 ，以开始您的作。

在这里收听第 1 集： https://ow.ly/Y2Zl50X0vEJ

在印度，无密码市场预计到 2024 年将达到 4.11 亿美元，预计到 2030 年将达到 15 亿美元以上。这反映了企业如何选择更快、更智能、更安全的登录体验。为了了解是什么推动了这一趋势以及公司如何适应， indianexpress.com 采访了 Zoho Corp 网络解决方案和数字签名首席布道师 Chandramouli Dorai。

生物识别技术是高风险交易最常用的身份验证方法。它也被评为最方便的，有 58.3 名受访者将其列为最方便的。

像往常一样，对数据隐私也有相应的担忧。三分之一的人担心他们的生物识别数据或数字凭证可能被盗或伪造，从而导致 身份欺诈。身份验证数据盗窃是人们最担心的问题。“许多用户认为，生物识别身份验证虽然被广泛实施，但对他们或他们的数字资产来说仍然不够安全。”

BSP 要求其监管下的组织在 2026 年 6 月 25 日之前加强欺诈管理和身份验证。该指令呼吁采用安全、防网络钓鱼的方法，例如通过 FIDO 标准进行无密码身份验证。

该措施是在该国在线诈骗和欺诈案件不断增加之际采取的。

“到 2027 年，超过 90% 使用代币的 MFA 交易将基于 IAM 工具原生支持的 FIDO 协议。”

克里斯汀·欧文，1Kosmos
Teresa Wu，IDEMIA公安

抽象

在世界各地，政府实体目前正在努力制定和实施其数字身份战略，其中包括向其公民颁发可验证的数字凭证 （VDC）。由于这些举措，组织也开始讨论使用 VDC 作为身份验证的主要形式。VDC 是验证用户身份的重要组成部分，可与 FIDO 的密钥一起使用，后者提供快速、安全和可靠的主要身份验证机制。应在出示公民的 VDC 进行身份验证后颁发密钥。本文将讨论在为公民实施身份验证时，VDC 和密钥应如何共存。

我们预计，随着部署遵循在线用例数字 ID 标准（例如 ISO/IEC 18013-7、 W3C、 IETF 或 SD-JWT）的解决方案，在认识使用数字 ID 确定身份属性和允许用户在线验证自己之间的差异方面，会越来越混乱。

本文旨在通过讨论密钥和数字 ID/VDC 的共存，包括使用这些技术的最佳实践，澄清误解并避免混淆。

观众

政府实体、政策制定者、依赖方

1. 可验证的数字凭证 （VDC） 和密钥

随着新技术的不断涌现，专家们正在寻找将这些解决方案一起使用的新方法。本文讨论了在为公民实施身份验证时，可验证数字凭证 （VDC） 和密钥应如何共存。VDC 和密钥都是为了保护数字世界中的身份而开发的。但是，它们对最终用户具有不同但交叉的角色。以下部分介绍 VDC 和密钥。

1.1 VDC的

VDC 可以包含身份属性的电子版本，也可以是可以通过加密方式验证的物理凭证（例如，驾驶执照、护照、其他可识别信息）的数字表示形式。通常，VDC 遵循 W3C 可验证凭据数据模型、 互联网工程任务组 （IETF） JWT 选择性披露 （SD-JWT） 或 ISO/IEC 18013-5/7 （移动驾驶执照）标准，这些标准需要加密签名来证明真实性。由于这些标准模型使用数字钱包，因此创建了一种安全、可移植和即时的验证机制，可以通过在披露敏感信息之前要求用户批准来保护隐私。

VDC 的部署目前在全球多个地区大量进行。例如，亚太地区国家正在接受 VDC 的想法。日本、韩国和澳大利亚等国家正在共同努力确保其 VDC 之间的互作性。澳大利亚的 2024 年数字身份法案为数字 ID 制定了认证要求，并加强了不同提供商之间的信任框架。在美国，移动驾驶执照 （mDL） 运动势头强劲，多个州已经实施或正在试点 mDL 计划。有关政府机构如何部署 VDC 的更详细情况，请参阅 附录。

VDC 可以是代表自然人的人员 ID （PID） 或证明属性，后者是呈现个人属性（例如驾驶执照、特定范围内的年龄或教育学位）的文档。VDC 的有效性可以用身份保证级别 （IAL） 或保证级别 （LOA） 来表示（取决于国家/地区的数字身份标准）。在使用 PID 的情况下，政府实体可以确定确定确定个人身份所需的经过验证的信息类型。在大多数情况下，有关一个人的姓名、地址、出生日期、出生地、官方政府文件编号、电话号码和其他属性（如父母姓名）的信息，为通过代表组织执行验证的政府或私人实体可用的控制措施正确识别一个人提供了坚实的基础。现代技术可能会添加指纹或面部捕获等生物识别记录，以进一步加强身份保证。欧洲数字身份钱包 （EUDI 钱包） 要求 PID 是高级别保证 （LoA），符合成员国用于其民事登记程序的原则。有关 EUDI 钱包的更多信息，请参阅第 5.3 节 欧盟 VDC 工作 。同样， 美国数字身份指南 ^[1] 要求在IAL2上执行远程身份审查，供政府使用。

VDC 通过定义颁发者 URL 的语法、文档类别和其他标准化语法（例如信任列表（其中政府实体颁发证书，保证 URL 是其声称的），然后创建加密 印章 ，以保证文档在呈现给信赖方（也称为验证者）时的真实性，从而保存文档的数字表示形式。在此 W3C 验证凭据数据模型下，URL 充当信任模型。

由于政府实体也在基于明确的身份标准和跨不同司法管辖区的互认机制构建数字身份钱包方案，因此在国际上采用数字身份钱包将有助于交警接受 VDC，以验证来自另一个国家的驾驶执照或银行提供适当的制衡（例如， 了解您的客户）在交易过程中。

^[1] https://www.nist.gov/identity-access-management/projects/nist-special-publication-800-63-digital-identity-guidelines

1.2 密钥

密钥是一种无密码且防网络钓鱼的身份验证机制，代表了隐私保护身份验证的重大进步，旨在用更安全、更用户友好的替代方案取代传统密码。

通行密钥有两种类型：同步通行密钥和设备绑定通行密钥。同步的密钥存储在云端，可以跨多个设备访问，提供便利和轻松恢复。另一方面，设备绑定的密钥存储在本地的特定设备或安全密钥上，从而提供增强的安全性。要更深入地了解通行密钥以及如何实现它们，请参阅 通行密钥中心。

由于其基本设计原则，通行密钥对网络钓鱼攻击具有强大的抵抗力。每个密钥都与服务的特定来源（由依赖方 ID 标识）内在地相关联，从而确保身份验证只能与合法且预期的服务提供商进行。这种特定于源的质询-响应机制本质上可以抵抗网络钓鱼网站的复制，从而使此类攻击无效。

同样重要的是密钥的隐私保护架构，旨在维护用户机密性并防止跟踪。在身份验证期间，不会向外部传输或共享任何个人或生物识别数据。指纹或面部识别检查等生物识别验证过程在用户设备上本地进行，确保敏感数据始终处于用户的控制之下。

由于通行密钥为每项服务生成唯一的加密密钥，并且无法跨平台重复使用，因此排除了跨平台跟踪，并避免了与社交登录相关的隐私问题，使提供商能够监控多个服务中的用户活动。与传统的身份验证方法（例如密码或双因素身份验证）不同，使用唯一的加密密钥可有效降低单个受损帐户可能导致的级联违规风险。通过用设备绑定的加密密钥替换共享密钥，通行密钥从根本上消除了网络钓鱼作为一种可行的攻击媒介。当密钥通过基于云的机制跨设备同步时，它们会通过端到端加密受到保护。

这种以隐私为中心的设计培养了用户之间的安全感和信任感，并让他们放心，他们的个人信息不会被政府实体或服务提供商跟踪或滥用。通过将防网络钓鱼身份验证与隐私保护原则相结合，密钥代表了安全和以用户为中心的数字身份管理的重大进步。

1.3 VDC 和密钥的交集

VDC 和密钥都可以增强安全性并减少数字交互过程中的摩擦。VDC 专注于安全地表示资格和属性（与真实用户的关联），而密钥专门针对防网络钓鱼身份验证（用户拥有的内容）。当一起使用时，这两种技术可以相辅相成，以增强数字世界中的安全性。

2. 数字身份的核心概念

本节介绍数字身份、身份验证和授权之间的区别。它还研究了如何加强可验证数字凭证的使用。

2.1 已验证身份、身份验证与授权

数字身份在促进在线交易方面发挥着至关重要的作用。通常，VDC 包含身份属性，这些属性可以作为证据提供，以验证 VDC 持有者的身份。例如，个人可能会使用其 VDC 来断言姓名、出生日期和地址等属性，以验证其身份并在银行开设金融账户。银行可以使用这些属性来遵守 了解您的客户 （KYC） 或 反洗钱 （AML） 等法规。

身份验证是确认一个人是他们声称的人的过程，通常在入职期间，使用可信文档作为身份证明。一旦建立了经过验证的身份，身份验证有助于在回访时验证个人。虽然密码或双因素身份验证传统上用于身份验证，但通行密钥不仅比传统身份验证方法更安全，而且还为用户提供了使用生物识别技术快速解锁加密密钥的便利，然后用于身份验证。与每次显示用户信息时可能断言有关用户的信息的 VDC 不同，通行密钥可以保护隐私，并且在身份验证期间不提供用户属性。

VDC 可用于在授权请求期间将请求的标识属性传输到信赖方。 ^[1] 这种方法可以减少信赖方的风险敞口，因为它通过最终用户经过验证的属性集提供了更全面的视图。然后，信赖方可以根据其访问规则和提供的属性，就该用户的访问做出明智的决定。

^[1] 授权是在用户身份经过身份验证后向用户授予正确级别访问权限的过程。作为身份和访问管理 （IAM） 系统中的一项特定功能，授权可帮助系统管理员控制谁有权访问系统资源并设置客户端权限。访问控制用于为用户身份分配一组预定的访问权限，使用属换来帮助确定授权请求在网络安全行业越来越受欢迎。

加强可验证数字凭证的使用

VDC 旨在使个人能够对身份属性或权利提出可验证的声明，而无需充当直接身份验证机制。与对用户进行特定服务身份验证的身份验证方法不同，VDC 侧重于通过涉及颁发者、持有者和验证者的去中心化 信任三角 来共享经过证明的声明（例如，出生日期和地址）。VDC 在设计时考虑到了隐私，因为 SD-JWT 和 ISO mdoc 等标准要求，当用户共享凭证中的特定声明（例如，驾驶执照的年龄）时，必须以加密方式证明原始文档的完整性。用户保留 VDC 的所有权，使他们能够跨平台提供凭据，而无需依赖中心化机构。这种灵活性使 VDC 非常适合需要身份证明的场景。

通行密钥提供了一种防网络钓鱼的身份验证方法，可将身份验证器绑定到特定域。通行密钥在身份验证时不会传递个人身份信息 （PII） 或类似信息，从而保护用户的隐私。但是，当依赖方请求并经持有人同意时，VDC 可以传递不必要的 PII。例如，恶意行为者可以冒充银行的身份验证门户，从用户的 VDC 捕获用户的 PII，并利用用户的 PII。虽然加密签名确保了凭证的完整性，但它们并没有解决上下文滥用问题，凸显了当前标准的差距。因此，最好将 VDC 用于用户凭据和属性。

尽管存在这些风险，但 VDC 越来越多地被用于高保证流程：

• 大学可以使用 VDC 通过验证学术记录和课外活动来简化注册。
• 银行可以使用 VDC 进行 eKYC（电子了解您的客户），结合文件验证（例如护照）、生物识别活体检查以及反洗钱和政治公众人物 （PEP） 筛查，以远程引导客户。
• VDC 可减少需要严格身份保证的交易中的欺诈行为，例如跨境金融转账或医疗保健许可。例如，自拍验证和以文档为中心的检查可确保用户在高价值协议期间的实际存在。
• 在跨境教育中，VDC 可以即时验证国际学生的证书，减少行政延误和欺诈风险。

但是，这些应用程序通常需要补充保护措施（例如，多因素身份验证、活跃性检测）来补偿 VDC 的 PII 网络钓鱼敏感性。

VDC 为去中心化身份管理提供了变革潜力，特别是对于注册和高保证交易。通过将 VDC 与防网络钓鱼身份验证机制集成并推进互作性标准，政府实体和组织可以利用其优势，同时降低风险。随着生态系统的发展，政府实体、标准机构和行业利益相关者之间的合作对于平衡创新与安全性至关重要。

3. 关键考虑因素

VDC 和密钥是根据广泛接受的标准构建的，这促进了互作性并提供跨各种平台和服务的无缝集成。这种标准化对于广泛采用和创建真正互联的数字身份生态系统至关重要。

3.1 隐私考虑

隐私保护是 VDC 和密钥都必须具备的一项关键功能。结合 VDC 和密钥对最终用户和信赖方都有好处。在此生态系统中，用户保持对其凭据的控制，并可以根据需要有选择地共享属性，例如，在向信赖方注册为用户时。依赖方可以确信 VDC 背后的人更有可能是他们所说的那个人。

然而，展望未来，整个身份行业应该解决数字时代对数据隐私和控制日益增长的担忧。虽然 VDC 是保存和共享已验证凭据的隐私保护机制，但信赖方应仅请求最终用户在应用程序中注册所需的最低属性。根据应用程序类型以及法律和监管要求，属性可能少至电子邮件地址和姓名，也可能包括经过验证的家庭住址和国民身份证号码。

3.2 eIDAS 2.0 法规

欧洲数字身份法规 2.0 （eIDAS 2.0） 法规描述了在 EUDI 钱包中可以隐式或显式使用通行密钥的位置。EUDI 钱包的 PID 应与高 eIDAS LoA 一起使用，以对信赖方进行初始身份验证。可以将 FIDO 密钥注册到用户的 EUDI 钱包以满足此要求。然后，通行密钥可用于使用假名对信赖方进行重复身份验证。通过这种方式，密钥可以在 EUDI 钱包生态系统中共存或补充 VDC。

eIDAS 2.0 法规的 第 5f.3 ^[1] 节规定，虽然非常大的在线平台必须接受并促进使用 EUDI 钱包进行身份验证，但它们必须“就请求身份验证的特定在线服务所需的最低数据而言”这样做。因此，eIDAS 2.0 允许在线平台支持假名 PID 身份验证，而不是要求这些平台也接受由政府颁发的凭证颁发并与之绑定的 VDC。

因此，密钥提供商将需要颁发和恢复密钥。密钥提供商服务可以由 EUDI 钱包生态系统中的不同实体运营：由基于云的 EUDI 钱包后端、PID 提供商或由颁发（合格）属性电子证明 （（Q）EAA 的合格信任服务提供商 （QTSP）。

^[1] https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401183

基于云的 EUDI 钱包和密钥提供商具有有趣的协同作用。PID 和 （Q）EAA 托管在基于云的 EUDI 钱包后端，该后端使用 FIDO 密钥从用户的设备访问。如果用户的设备丢失或更换，用户只需恢复 FIDO 密钥，然后用户就可以访问 PID 和 （Q）EAA。这允许快速恢复 EUDI 钱包，因为用户可以首先将 FIDO 密钥下载到设备，然后使用 FIDO 密钥即时访问基于云的 EUDI 钱包。

3.3 VDC 和密钥集成方法的用例

密钥和数字身份钱包不是竞争技术，而是互补的解决方案，共同创建了一个强大的、便携的身份生态系统。密钥充当数字身份钱包的安全网关，提供强大的防御，防止未经授权的访问，钱包用于在高风险交易期间提供有价值的数据。这种组合通过将经过验证的身份（EUDI 钱包）与简单的身份验证（密钥）统一起来，增强了安全性并简化了用户体验。

也许最重要的是，这种组合允许创建可重用的身份。用户可以证明一次身份，然后在多个服务中重复使用相同的 VDC，从而显着减少数字交互的摩擦，同时保持高安全标准。这种数字身份和身份验证集成方法的潜在应用非常广泛，跨越多个领域：

• 在线验证：在电子商务中（例如，国家支持的酒类商店），可以使用存储在数字钱包中的经过验证的凭据并使用密钥安全访问来简化购买受限产品的年龄验证。
• 政府服务：通过这种组合方法，可以促进对报税系统和其他政府福利的安全访问，从而增强安全性，同时改善用户体验。
• 医疗保健：在多家医院验证处方医生的凭证变得更加高效，并且可以简化医疗保健提供者之间患者记录的安全传输。
• 教育：高等教育系统可以更有效地防止帐户接管，学生可以创建可重复使用的身份，在整个学术生涯及以后携带他们的记录。
• 金融服务：可以显着简化了解您的客户 （KYC） 流程，并可以更有效地实施高风险交易的增强安全性。

在大多数用例中，信赖方应使用 VDC 在交互开始时注册其选民，并接受通行密钥以与选民进行进一步交互。如果选民正在进行高风险交易，则信赖方应在身份验证时向 VDC 索取其他属性。此外，VDC 应用于密钥恢复，而密钥应用于访问 VDC。

4. 推荐

采用通行密钥作为选民身份验证主要形式的政府实体和组织可以利用其增强的安全性和易用性。为了确保信任和可用性，通行密钥应由经过验证的数字凭据 （VDC） 支持，尤其是在通行密钥颁发或帐户恢复需要经过验证的身份的情况下。VDC 提供了一种强大的机制来安全地恢复密钥，同时保持高水平的保证。

为了有效地实现这一点，建议根据标识保证级别 （IAL） 要求和服务中受保护的数据的风险承受能力采用分层方法。对于具有中等 IAL 要求的服务，信赖方 （RP） 应：

• 读取政府颁发的身份证件以验证用户的身份。
• 创建与已验证身份绑定的通行密钥。
• 在所有后续交互中使用通行密钥进行重新身份验证。

采用通行密钥作为选民身份验证主要形式的政府实体和组织可以利用其增强的安全性和易用性。为了确保信任和可用性，通行密钥应由经过验证的数字凭据 （VDC） 支持，尤其是在通行密钥颁发或帐户恢复需要经过验证的身份的情况下。VDC 提供了一种强大的机制来安全地恢复密钥，同时保持高水平的保证。

为了有效地实现这一点，建议根据标识保证级别 （IAL） 要求和服务中受保护的数据的风险承受能力采用分层方法。对于具有中等 IAL 要求的服务，信赖方 （RP） 应：

• 读取政府颁发的身份证件以验证用户的身份。
• 创建与已验证身份绑定的通行密钥。
• 在所有后续交互中使用通行密钥进行重新身份验证。

对于 IAL 要求较高的服务，政府实体与 FIDO 联盟等组织之间的合作至关重要。他们可以共同开发解决方案，以确保通行密钥满足严格的保证级别，同时维护用户隐私和便利性。

此外，迫切需要跨司法管辖区的 IAL 标准和互认安排。政府实体应努力制定明确的指南，说明特定服务需要哪些 IAL 级别，以实现法律合规和消费者保护。这些标准应旨在在尽可能多的国家/地区有效，以促进跨境数字交互的互作性和信任。

通过采用密钥作为身份验证的基础，并将其与经过验证的凭据和标准化的 IAL 框架保持一致，政府实体可以增强安全性、改善用户体验并促进数字身份管理方面的全球合作。

5. 附录

5.1 用于政府部署的可验证数字凭证

数字身份格局正在全球范围内发生重大变革。本附录探讨了世界各地的政府实体如何实施 VDC。

5.2 亚太地区 VDC 工作

亚太国家正在接受 VDC 的想法。日本、韩国和澳大利亚等国家正在共同努力确保其 VDC 之间的互作性。澳大利亚的《 2024 年数字身份法案 》为数字 ID 制定了认证要求，并加强了不同提供商之间的信任框架。

在亚洲，政府颁发的数字凭证正在迅速发展，但进展不均衡;反映了不同的经济、技术和监管环境。最近的部署凸显了标准机构（例如 ISO/IEC 和 W3C）在塑造安全、可互作的系统方面的进展和关键作用。在亚洲，印度、新加坡和韩国等国家以强大的数字身份系统处于领先地位，而澳大利亚正在将 mDL 与国际标准相协调，以实现安全、可互作的凭证。

新加坡的 SingPass 是无缝公共和私人服务接入的标杆。韩国利用数字身份证进行电子政务，纳入了 FIDO 和 ISO/IEC 29115 标准。日本数字机构 ^[1] 通过2024年12月启动的亚太数字身份联盟 ^[2] 等举措推动个人编号（个人编号）卡的增强。

日本政府于 2025 年 6 月 24 日开始向 iPhone 用户发行 mdoc 格式（根据 ISO/IEC 18013-5 标准化）的数字国民身份证（个人编号卡/智能手机上的个人编号卡），并计划于 2026 年向 Android 用户发行。对于数字国民身份证，包括姓名、出生日期、地址、性别和个人编号（在日本称为 个人编号 ）等身份信息。目标是将数字国民身份证用于面对面和远程用例的各种身份证明用例。

在东南亚，泰国的 2022-24 年数字身份框架目标是 1000 万个数字身份证和国家数字身份证平台。在讨论移动 ID 中的生物识别技术 D.DOPA 时，该框架的创建者参考了 NIST 800-63 和 ISO/IEC 19794 标准。马来西亚的 MyDigital ID 符合 ISO/IEC 27001 标准，砂拉越计划中的 砂拉越通票旨在效仿 SingPass 进行无现金交易和服务访问。菲律宾的 PhilSys 已注册 6800 万，专注于数字发行以绕过实体卡延迟。2025 年 3 月，台湾数字部推出了台湾 数字身份钱包 （TW DIW） 原型，这是一种非强制性移动应用程序，用于存储 ID 和许可证，使用生物识别身份验证和选择性披露。沙盒试验于 3 月开始，计划于 12 月进行更广泛的测试，但它不是完整的数字 ID 替代品，并且不包括医疗数据共享。

澳大利亚和新西兰正在将移动驾驶执照与 ISO/IEC 18013-5 相协调。在澳大利亚和新西兰，mDL 的协调工作集中在采用 ISO/IEC 18013-5 上，以确保安全、可互作的数字凭证可在国内和国际上验证。在澳大利亚，Austroads 的 数字信任服务 （DTS） 凭借成功的预生产版本在全国范围内进行了可扩展性测试，处于领先地位。自 2019 年以来拥有 450 万用户的新南威尔士州正在将其提供基于应用程序的 mDL 的新南威尔士州 服务 应用程序过渡到完全合规，确保在法律上与实体卡等效。南澳大利亚的 mySAGOV 应用程序结合了该标准的验证功能。DTS 的目标是 2025-26 年推出，支持跨司法管辖区和全球验证，在 2024 年身份和可验证凭证峰会上展示了用于美国机场访问等用途，并将新西兰纳入其互作性框架。新西兰正在与澳大利亚签订互认协议，将其基于 NZTA 应用程序的数字许可证与 ISO/IEC 18013-5 保持一致。

5.3 欧盟VDC努力

在欧洲， 欧洲数字身份法规 2.0 （eIDAS 2.0） 法规于 2024 年 5 月生效，标志着整个欧盟数字身份管理方式的关键转变。这一更新的框架引入了欧洲数字身份钱包（EUDI 钱包），旨在为欧盟公民提供安全、可互作的数字身份解决方案，用于访问跨成员国的公共和私人服务。

EUDI 钱包是 eIDAS 2.0 法规的基石 ^[3] ，将免费提供给所有欧盟公民。EUDI 钱包的目的是使欧盟公民能够在访问在线和离线资源时证明自己的身份，或者在不透露完整身份的情况下展示特定的个人属性。EUDI 钱包将能够用于移动驾驶执照、支付、获得公共服务和开设银行账户等用例。

EUDI 钱包架构在欧洲数字身份钱包架构和参考框架 （ARF） 中进行了概述，该框架规定了 EUDI 钱包要使用的格式和协议。每个 EUDI 钱包都将配备个人身份证件 （PID），该文件将注册为高 eIDAS 保证级别 （LoA）。除了 PID 之外，用户还可以选择添加额外的 （Q）EAA，这可以证明用户的身份并向依赖方提出索赔。

《经编权框架》已订明，以下格式适用于《投资发展计划》及（质）监管评估：

• ISO/IEC 18013-5 移动驾驶执照 （mDL）
• W3C 可验证凭据数据模型 v1.1
• 基于 IETF SD-JWT 的可验证凭据 （SD-JWT VC）

此外，国际民航组织 （ICAO） 数字旅行凭证 （DTC） 也可用作 EUDI 钱包的 （Q）EAA。

5.4 美国 VDC 努力

在美国，移动驾驶执照 （mDL） 运动势头强劲，多个州已经实施或正在试点 mDL 计划。与 eIDAS 2.0 的集中式方法不同，美国的举措在各个联邦机构和州的努力以及行业合作的推动下，正在更加有机地发展。这些发展反映了人们越来越认识到在日益数字化的世界中需要强大的、以用户为中心的数字身份解决方案，尽管它们通过不同的监管和技术途径实现这一目标。

由于美国各州向其选民提供身份证和驾驶执照，因此创建 mID 和 mDL 的责任在于每个州。因此，美国 mDL 的开发和实施是一个在不同州逐步且多样化的过程。 ^[4] 虽然目前只有大约三分之一的美国州提供 mDL，但许多州正在推进，因为他们认识到 mDL 在改善远程交易、减少身份欺诈以及加强政府服务和私营部门服务的数字身份验证方面的潜在好处。

美国运输安全管理局 （TSA） 正在评估 VDC（例如移动驾驶执照）对航空安全和运营的潜在影响。TSA 已集成数字身份功能，包括使用 Credential Authentication Technology 2 （CAT-2） 系统在 TSA 检查站接受国家颁发的移动驾驶执照，以提供一种安全、无缝的方法来验证个人身份。目前，TSA 正在接受来自 15 个参与州的移动驾驶执照和移动 ID。2024 年 10 月，TSA 在《联邦公报》上发布了一项最终规则，允许乘客继续在 TSA 机场安检站使用移动驾驶执照 （mDL） 进行身份验证，现在 REAL ID 执法于 2025 年 5 月 7 日开始。

除了发布 数字身份指南 SP 800-63 外，NIST 国家网络安全卓越中心 （NCCoE） 还启动了一个 mDL 采用加速项目 ，将来自整个 mDL 生态系统的利益相关者聚集在一起，努力构建参考实施，以促进 mDL 部署的标准和最佳实践，并应对 mDL 采用挑战。第一个 NCCoE 用例将侧重于帮助消费者创建金融账户，并帮助金融机构使用 mDL 满足客户识别计划/了解您的客户 （CIP/KYC） 要求。

对于美国联邦政府与用户的数字交互，各机构正在接受将可重复使用的身份存储在数字身份钱包中的想法。一般来说，这些 VDC 是基于云的，用于在与联邦机构交互以执行注册公共福利或报税等作之前验证用户的身份。这些 VDC 还与选民将用于登录机构应用程序的身份验证器相关联。在联邦空间内，与身份验证器绑定的 VDC 称为凭据服务提供商 （CSP）。

5.5 英国 VDC 的努力

英国政府于 2024 年 11 月发布了 数字身份和属性信任框架 （DIATF） gamma 版本 （0.4） ^[5] ，其中概述了与数字钱包相关的数字身份服务的标准和作用。英国计划在 2025 年推出数字驾驶执照，该执照将通过智能手机上新的 GOV.UK 数字钱包应用程序获得。

^[1] https://www.digital.go.jp/en

^[2] https://www.apdiconsortium.org/

^[3] 欧盟议会于 2024 年 4 月通过了《关于建立欧洲数字身份框架的法规 （EU） 2024/1183》（eIDAS 2.0）。eIDAS 2.0 法规将通过委员会实施条例 （CIR） 进行扩展，也称为“实施法案”，该法规将详细阐述 eIDAS 2.0 法规的某些法律方面。继续指定 eIDAS 2.0 CIR。

^{[4] 截至 2025} 年 3 月，提供 mDL 的州包括阿拉斯加州、阿肯色州、亚利桑那州、加利福尼亚州、科罗拉多州、特拉华州、佐治亚州、夏威夷州、爱荷华州、路易斯安那州、马里兰州、密西西比州、纽约州、俄亥俄州、波多黎各、弗吉尼亚州、犹他州和西弗吉尼亚州。

^[5] https://www.gov.uk/government/publications/uk-digital-identity-and-attributes-trust-framework-04

6. 贡献者

• 杰罗姆·贝夸特，Axiad
• 约翰·布拉德利，尤比科
• 蒂姆·卡帕利，奥克塔
• 塞巴斯蒂安·埃尔福斯，IDnow
• Hideaki Furukawa，野村综合研究所有限公司
• 威廉·费舍尔，NIST
• Henna Kapur， 签证
• Sue Kooman，美国运通
• 马修·米勒，思科
• 杰夫·尼格里尼，CertiPath， Inc.
• 乔·斯卡隆，尤比科
• Alastair Treharne，Ingenium 生物识别实验室

7. 文档历史记录

8. 参考资料

亚太数字身份 （APDI） 联盟。APDI 联盟。 https://www.apdiconsortium.org/

数字代理。家。数字代理。 https://www.digital.go.jp/en

FIDO 联盟。家。密钥中心。 https://www.passkeycentral.org/home

NIST。数字身份 – 移动驾驶执照 （mDL）。NIST 国家网络安全卓越中心。 https://www.nccoe.nist.gov/projects/digital-identities-mdl

NIST。（2025 年 7 月）。NIST SP 800-63-4 数字身份指南。NIST。 https://www.nist.gov/identity-access-management/projects/nist-special-publication-800-63-digital-identity-guidelines

数字身份和属性办公室以及科学、创新和技术部。（2025 年 6 月 26 日）。英国数字身份和属性信任框架 （0.4）。英国政府。 https://www.gov.uk/government/publications/uk-digital-identity-and-attributes-trust-framework-04

欧洲议会和欧盟理事会。（2024 年 4 月 11 日）。欧洲议会和理事会的条例 （Eu） 2024/1183。EUR-Lex.europa.eu. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401183

运输安全管理局。（2024 年 10 月 7 日）。TSA 宣布了最终规则，允许在机场安检站和联邦大楼继续接受移动驾驶执照。TSA。 https://www.tsa.gov/news/press/releases/2024/10/24/tsa-announces-final-rule-enables-continued-acceptance-mobile-drivers

想象一下，您在 iPhone 或 Android 手机上创建了大量 密钥 。如果您丢失了手机或手机不再工作，您设备上的密钥会怎样？他们走了吗？你能把它们找回来吗？不要害怕。有一种方法可以设置您的通行密钥，以便它们与您的帐户相关联，并且无论您走到哪里都可以关注您。

诀窍 在于您首先 如何生成密钥。通过使用支持通行密钥的密码管理器、 Google 密码管理器或 Apple 的 iCloud 钥匙串，您可以将通行密钥保存到您的帐户并在您的所有设备上同步它们。如果您丢失了手机或升级到新手机，您的通行密钥将在您登录后可用。这是它的工作原理。

密码很糟糕。他们是 很难记住，但更糟糕的是，用你最重要的账户玩不断发展的网络安全打地鼠游戏。这就是 密钥 发挥作用的地方。过去两年，所谓的 “密码战争” 已经兴起，谷歌、Microsoft 和 Apple 等巨头都在推动无密码的未来， FIDO 联盟 （一个旨在“帮助减少世界对密码的过度依赖”的联盟）十多年来一直试图实现这一未来。

不管你喜欢与否，系统会在某个时候提示你创建一个密钥，而且你 可能已经创建了。这是一件好事，因为密钥不仅比传统密码更容易使用，而且也更安全。以下是您需要了解的有关使用它们的所有信息。

几乎像时钟一样，每隔几个月就会出现一场演讲或一篇文章，声称“新研究”发现了通行密钥（passkeys）的某种“漏洞”。对正在升级认证体系的高管与产品负责人而言，这样的说法可以理解地令人担忧。但这类报道有一个共通模式：它们强调的是通行密钥所处的使用环境中的可被利用之处，而非通行密钥本身的缺陷。

通行密钥是基于公钥密码学的 FIDO 认证凭据。该认证协议依赖用户对其私钥的控制：私钥在用户设备（如智能手机、FIDO 安全密钥等）上生成，并且从不与所登录的服务共享（服务方仅接收并保存对应的公钥）。这种设计使通行密钥天然抵御网络钓鱼、凭据填充以及大规模数据泄露。若要破坏通行密钥的安全模型，攻击者必须窃取私钥本身——在未以某种方式攻陷设备的前提下，这在密码学与实践层面都不可行。

问题实际发生的环节

当研究者宣布他们“让通行密钥失效”时，通常真正的意思是：他们攻陷了运行环境中的其他环节，例如：

• 浏览器漏洞：恶意扩展可劫持会话或干扰用户行为；
• 终端/设备被攻陷：恶意软件控制了端点；
• 应用集成薄弱：认证流程的集成方式存在弱点。

需要明确的是，这些确实是现实风险，但任何认证方案（包括加密通信应用、VPN 等其他安全工具）都会面临类似风险。它们并非通行密钥的缺陷，而是更广义的环境被攻破的案例；且这类风险可通过行业内行之有效、长期实施的安全控制与治理政策来缓解。

切勿将标题与现实混为一谈：通行密钥按预期运作

目前没有报告显示支撑通行密钥的密码学或技术标准存在漏洞。研究者展示的更多是这样一些场景：当用户环境已被攻陷时，攻击者可能滥用原本安全的凭据，或绕过安全认证流程。这是值得讨论的安全议题，同时也提醒我们：即使通行密钥是安全认证的金标准，也不能替代一套全面的安全治理体系。

我们对安全与研究的承诺

FIDO 联盟始终致力于通过持续研究、严格测试，以及与成员与更广泛安全社区的合作，推动安全能力提升。我们的成员正积极探索后量子密码学（Post-Quantum Cryptography）等新兴技术的影响，以及深度伪造（deepfakes）等新型威胁带来的挑战。我们欢迎以负责任方式开展工作的安全研究者参与交流；这种建设性的合作，有助于进一步强化我们的规范（specifications）、认证项目与实现质量。耸动的标题也许能帮助少数人推销其产品或服务，但要实现真正强韧、抗钓鱼的认证能力，关键在于前瞻性研究与开放、负责任的对话相结合——这正是联盟的核心理念。

结论与要点

对于负责产品、安全或合规的您，采用通行密钥意味着：

• 专注基本面：通行密钥可从根本上消除一整类主导当今泄露事件的攻击（网络钓鱼、凭据窃取、重复使用）。
• 审慎导入：重视集成与上线计划，遵循指南与最佳实践，**尤其关注后备/备用认证机制（fallback）**的设计与管理。
• 配套环境防护：持续强化安全计划至关重要，重点关注端点安全、浏览器治理与应用加固。
• 依托认证：采用通过 FIDO 认证的实现，以确保跨平台、跨设备的一致性，并降低集成风险。

通行密钥代表了数十年来数字身份安全领域最重要的进步之一，而且确实按设计在发挥作用。与此相悖的标题多半是在夸大某些研究，而这些研究实际上只是在重申一个老生常谈的事实：一旦所处环境被攻陷，任何系统都不可能幸免。在数字优先的世界里，通行密钥依然是降低欺诈、减少泄露风险、并构建客户信任的最佳路径。

通行密鑰並沒有“被破解”，不要被討論本身誤導

Nishant Kaushik, FIDO聯盟首席技術官

幾乎像時鐘一樣，每隔幾個月就會出現一場演講或一篇文章，聲稱「新研究」發現了通行密鑰（passkeys）的某種「漏洞」。對正在升級身分驗證框架的高階主管與產品負責人而言，這樣的說法理所當然地令人擔憂。但這類報導有一個共同模式：它們強調的是通行密鑰所處的使用環境中的可被利用之處，而並非通行密鑰本身的缺陷。

Passkeys是基於公開金鑰技術的FIDO驗證機制，此協議依賴用戶對其私鑰的控制：私鑰在用戶設備（如智慧型手機、FIDO硬體金鑰等）上生成，並且從不與所登入的服務共享（服務方僅接收並保存對應的公鑰）。這種設計使Passkeys能抵禦網路釣魚、跨站重複密碼攻擊、以及大規模資料外洩等攻擊。若要破解通行金鑰的安全機制，攻擊者必須竊取私鑰本身—在未以某種方式攻陷裝置的前提下，這在密碼學與實務層面都不可行。

問題實際發生的環節

當研究者宣布他們「破解了通行密鑰」時，通常其真正的意思是：他們攻陷了運行環境中的其他環節，例如：

• 瀏覽器漏洞：惡意外掛可劫持會話或干擾使用者行為；

• 設備缺陷：惡意軟體控制了端點；

• 應用弱點：驗證流程的整合方式有弱點。

需要特別強調的是，這些的確是真實存在的風險。但任何驗證方案（包括加密通訊應用、VPN等其他安全工具）都會面臨類似風險。它們並非通行密鑰本身的缺陷，而是更廣義的環境被攻破的案例；且這類風險可透過資訊管理團隊有效且長期實施的安全控制與治理政策來緩解。

切勿將標題與現實混為一談：通行金鑰如預期運作

目前沒有報告顯示通行密鑰的密碼學或技術標準有漏洞。研究者展示的更多是這樣一些場景：當使用者環境已被攻陷時，攻擊者能夠濫用其它安全憑證，或繞過安全驗證流程。這是值得討論的安全議題，同時也提醒我們：即使通行金鑰是安全驗證的最佳標準，也不能取代一套全面的安全治理體系。

我們對安全與研究的承諾

FIDO聯盟始終致力於透過持續研究、嚴格測試以及與會員和更廣泛安全社群的合作，推動安全能力提升。我們的成員正積極探索後量子密碼學（Post-Quantum Cryptography）等新興技術的影響，以及深度偽造（deepfakes）等新型威脅帶來的挑戰。我們歡迎以負責任方式進行工作的安全研究者參與交流；這種建設性的合作，有助於進一步強化我們的規格、認證計畫與實施品質。聳人聽聞的標題也許能幫助少數人推銷其產品或服務，但要實現真正強韌、抗釣魚的驗證能力，關鍵在於前瞻性研究與開放、負責任的對話相結合—這正是聯盟的核心理念。

結論與要點

對於負責產品、安全或合規的您，採用通行密鑰意味著：

• 專注基本面：通行密鑰可從根本上消除一整類主導當今洩漏事件的攻擊（網路釣魚、憑證竊取、重複使用）。

• 審慎導入：重視整合與上線計畫，遵循指引與最佳實踐，特別關注備用（fallback）機制的設計與管理。

• 配套環境防護：持續強化安全計畫至關重要，需特別關注端點安全、瀏覽器治理與應用強化。

• 標準認證：採用經FIDO聯盟認證的實作產品或方案以確保一致性，並降低跨平台、跨裝置的整合風險。

通行密鑰代表了數十年來數位身分安全領域最重要的進步之一，而且確實其運作方式與預期一樣。與此相悖的標題多半是在誇大某些研究，而這些研究其實只是在重申一個老生常談的事實：一旦所處環境被攻陷，任何系統都不可能倖免。在數位優先的世界裡，通行密鑰依然是減少詐欺、降低外洩風險並建立客戶信任的最佳路徑。

攻击者一直在提高他们的技能，以绕过组织的身份和访问管理 （IAM） 协议——这是获得关键访问权限的关键——人工智能 （AI） 正在使网络钓鱼攻击更加有效， 而深度伪造甚至正在欺骗最精通安全的头脑。存在无密码技术等新的身份验证措施，但 实施挑战阻碍了采用。

用户必须保护密码

对于 Microsoft Authenticator 的用户来说，这是一个关键的截止日期：正如 5 月初宣布的那样，所有存储的密码将于 2025 年 8 月 1 日不可撤销地从应用程序中删除。如果您不确保或传输数据，您将永久无法访问存储的密码。

转换是逐渐发生的，并且已经持续了几个月。自 2025 年 6 月起，无法再在应用程序中保存新密码或从外部来源导入。这会影响手动输入以及与其他服务的同步。2025 年 7 月，自动填充功能被停用，因此该应用程序不再自动输入网站或应用程序中的登录字段。

FIDO 联盟的新研究表明，虽然 87% 的企业正在采用密钥，但近一半尚未部署的企业将复杂性和成本问题列为主要障碍。HID 的解决方案简化了向无密码身份验证的转变。

这似乎有点极端，但开始擦除用户密码的决定已经酝酿了几个月。Microsoft 一直在慢慢结束 Microsoft Authenticator，这是一款由 Microsoft 为 Android 和 iOS 开发的免费移动应用程序，可让您使用双因素身份验证 （2FA） 或无密码登录安全地登录在线帐户。

FIDO 联盟的最新研究表明，虽然 87% 的企业正在采用密钥，但近一半的尚未部署的企业将复杂性和成本问题列为主要障碍。HID 的解决方案简化了向无密码身份验证的转变。

HID 无密码身份验证路线图的下一阶段为企业提供了部署 FIDO 的选择、灵活性和速度，而不会影响用户体验或安全状况。扩展的产品组合通过企业级生命周期管理提供防网络钓鱼身份验证，使各种规模的组织都可以使用可扩展的无密码安全性。该解决方案可在不同的工作环境中无缝运行，同时通过集中可见性和控制来降低 IT 支持要求。

好的，那么如果您的设备被盗，这些密钥会怎样？

FIDO 联盟的最新研究表明，虽然 87% 的企业正在采用密钥，但近一半的尚未部署的企业将复杂性和成本问题列为主要障碍。HID 的解决方案简化了向无密码身份验证的转变。

密钥可移植性建立在 FIDO 联盟 的新标准之上，该标准允许应用程序以私密和加密的方式交换凭据。它使用面容 ID、触控 ID 或您的设备密码来批准传输。从用户的角度来看，它只是有效的。这正是它应该的样子。

该平台的验证系统要求英国用户提交政府颁发的身份证件（例如护照）或通过第三方身份验证公司 Persona 提交自拍照。该方法是在其他平台成功实施之后采取的，包括 Discord 最近在英国推出的面部扫描和身份验证。Persona 处理敏感数据以维护用户隐私，将上传的照片或 ID 存储最多 7 天，而不与 Reddit 共享信息。

Reddit 仅保留用户的验证状态和出生日期，无需在访问受限内容时重复验证。Persona 已确认它不会访问 Reddit 用户数据，包括 Reddit 子版块活动。这种以隐私为中心的方法符合数字身份验证的新兴标准，符合 FIDO 联盟基于人脸的远程身份验证认证计划制定的原则。

随着汽车行业向软件定义汽车、自动驾驶技术和互联服务过渡，网络安全已成为一个关键问题。FIDO 联盟的这份白皮书概述了保护下一代汽车的主要挑战和新兴解决方案。它研究了 UN R155、UN R156 和 ISO/SAE 21434 等全球监管框架，并介绍了 FIDO 联盟的无密码身份验证、安全设备载入和生物识别认证标准。

观众

本文针对汽车行业。受众包括汽车系统工程师、汽车 IVI 产品和开发经理、汽车网络和车载网络安全工程师、采购等应用车载服务产品经理、IT 系统网络安全经理、寻求支持 UN R155/R156 和 ISO/SAE 21434 等全球监管框架的工程师、制造系统工程师和车云连接工程师。

1. 引言

汽车行业正在经历变革，包括向软件定义和自动驾驶汽车的转变、先进的类 IT 架构、无线 （OTA） 更新以及车载商务的兴起。虽然这些变化提供了新的收入机会，但也带来了重大的网络安全威胁。

全球网络安全立法，例如 联合国第 155 号条例、 联合国第 156 号条例和 ISO/SAE 21434，旨在保护车辆免受新出现的威胁。FIDO 联盟通过提供安全身份验证、设备入门和生物识别认证标准发挥着至关重要的作用。

利用标准有助于汽车公司确保一致的安全性，利用集体专业知识，并避免可能阻碍新市场和收入的专有解决方案。FIDO 标准适用于各种汽车应用，包括消费者服务、车载解决方案、劳动力身份验证和制造，确保整个行业强大的网络安全。

本文为汽车生态系统中的公司提供了对 FIDO 联盟提供的标准和服务的深入了解，并回顾了当前和未来的用例。

FIDO 联盟正在寻求反馈并与行业专家合作，以帮助确保 FIDO 的计划符合目的，并成功帮助公司满足网络安全需求、改善驾驶员体验并挖掘新机遇。

2. 汽车行业的演变

汽车行业已有 140 年的历史，目前正在经历影响行业各个方面的变化：

• 电气化和可持续性
• 软件定义汽车和连接
• 自动驾驶和辅助驾驶
• 商业模式转变：移动即服务 （MaaS） 和直销
• 供应链中断和地缘政治风险
• 新的收入来源：数据货币化和服务
• 电动汽车充电基础设施的推出及其对电网的影响
• 不断变化的消费者期望和数字体验

这些变化在新的收入机会和改进的车辆方面为制造商带来了潜在的好处，但它们也带来了相当大的网络威胁。

车辆已经从孤立的机械系统发展成为集成了复杂软件、硬件和通信网络的互连网络物理平台（通常由各种实体创建）。制造商实施这些系统是为了为最终用户提供更好的车辆和增强的驾驶体验，但它们也带来了与新的“攻击面”相关的网络威胁风险增加。这些潜在威胁有多种形式，从恶意黑客到国家资助的行为者。为了尽量减少这些威胁，制造商、其供应商、监管机构和其他行业利益相关者现在关注网络安全是当务之急。

3. 迎接挑战，抓住机遇

汽车网络安全专业人员面临着巨大的挑战。一方面，他们需要对威胁的增加做出反应，并考虑为保护消费者而制定的相关立法。另一方面，他们需要对支持新的商业模式持开放态度，例如车载商务、增值车辆功能（例如订阅服务）以及工厂和办公室的额外网络安全。虽然没有一个简单的解决方案可以满足所有这些需求，但利用 FIDO 联盟等组织的标准和认证计划可以提供很大帮助。

4. 汽车网络安全和全球立法

各国政府和国际组织已经颁布了法规，要求在整个汽车生命周期（包括设计、运营甚至报废）中采取严格的网络安全措施。这些框架旨在保护车辆免受新出现的威胁，并为整个汽车生态系统的安全和信任建立基线。全球主要例子包括：

• 联合国第 155 号条例和联合国第 156 号条例：要求车辆纳入网络安全管理系统 （CSMS） 和软件更新管理系统 （SUMS）
• ISO/SAE 21434：为全球汽车网络安全工程奠定基础，概述了在整个车辆生命周期中管理网络风险的流程
• 中国GB 44495-2024和GB 44496-2024：规范网络安全管理体系（CSMS）并以精细方式治理安全软件更新
• 印度的 AIS 189 和 AIS 190：与 联合国 R155 和 R156 保持一致，以规范联网汽车的网络安全
• 美国：美国国家公路交通安全管理局 （NHTSA） 发布网络安全最佳实践，强调安全的车辆开发流程、事件响应计划和持续风险监控

请参阅 附录 A 以了解有关这些标准的更多信息。

5. FIDO联盟和FIDO标准

FIDO 联盟是一个开放的行业协会，其重点使命是：减少世界对密码的依赖。为了实现这一目标，FIDO 联盟促进了用户身份验证和设备入门标准的开发、使用和遵守。

FIDO 联盟：

• 制定技术规范，定义一组开放、可扩展、可互作的机制，以减少对用户和设备身份验证对密码的依赖。
• 跟踪全球法规的演变并制定自己的标准，以帮助行业以统一的方式满足这些法规，从而减轻其合规负担。
• 实施行业认证计划，以确保这些规范在全球范围内成功采用。
• 提供教育和市场采用计划，以促进 FIDO 的全球使用。
• 向公认的标准制定机构提交成熟的技术规范，以进行正式标准化。

FIDO 联盟在全球拥有 300 多名成员，代表来自 IT、芯片、支付和消费者服务领域的领导者，董事会成员包括来自苹果、Visa、英飞凌、Microsoft、戴尔、亚马逊和谷歌的代表。该联盟还设有各种活跃的工作组，志同道合的成员可以在其中开发和推进技术工作领域，并就特定市场的要求进行协调。

FIDO 联盟正计划成立一个汽车工作组，该行业的领导者可以在该工作组中确定技术、业务和市场需求并进行合作。要了解更多信息，请使用“联系我们”表格，网址为 https://fidoalliance.org/contact/ 或通过电子邮件 info@fidoalliance.org 。

6. FIDO 用于汽车网络安全合规性

满足主要汽车网络安全标准 ISO/SAE 21434 以及随后最著名的法规 UN R155 的要求取决于强大的身份管理和安全的设备载入。虽然这些标准本身并未规定 FIDO 协议，但它们概述了 FIDO 提供切实好处的关键原则。

ISO 21434，特别是关于风险评估和威胁缓解的第 8 条和第 9 条，要求制定防止未经授权访问的策略。FIDO 的无密码身份验证通过消除弱凭据并降低网络钓鱼和撞库风险（联网车辆系统的常见威胁）直接解决了这个问题。此外，第 10 条对安全软件部署的关注与 FIDO 板载设备 （FDO） 保持一致，确保只有经过身份验证的设备才能加入生态系统，从而减少供应链攻击和未经授权的软件注入。FIDO 的能力与特定条款的直接映射展示了其在实现合规方面的价值。

除了这些基本标准之外，FIDO 的方法还广泛适用于新兴法规，为原始设备制造商提供了满足全球合规要求并增强其联网汽车生态系统网络安全弹性的途径。一些例子包括中国的 GB 44495-2024 和印度的 AIS 189，它们要求制定区域汽车网络安全标准，并强化了软件定义汽车 （SDV） 时代对安全身份验证等功能的需求。中国的 GB 法规与 UN R155 类似，强调远程更新的真实性和完整性，其中 FIDO 基于密钥的身份验证提供了一种合规的方法来验证访问。印度的法规目前仍处于草案阶段，与 联合国 R155 保持一致，强调了保护车辆到云通信和身份管理的重要性。

7. FIDO 标准可能适用的新兴用例概述

FIDO 标准可以应用于广泛的场景。这些可以面向客户、嵌入车辆中或作为制造商 IT 基础设施的一部分。

其中一些方案的高级概述包括但不限于：

• 车载商务：这包括使用在车辆中存储和管理的凭证进行支付，以实现方便的加油、电动汽车充电、停车预订、洗车甚至由汽车制造商管理的车载市场。实施通行密钥来验证关联的汽车用户和生物识别组件认证与这些用例最相关。
• 个性化服务身份验证：这些应用程序包括轻松访问定制的汽车设置（例如，头枕和座椅调节）以及信息和娱乐内容。
• 车载解决方案：该细分市场包括汽车到云连接以及车内 ECU 和区域控制器的载入等应用。FIDO 板载设备 （FDO） 的实施最适用于这些应用。
• 劳动力身份验证：这些应用程序包括控制劳动力对 IT 系统的访问，无论是在开发办公室、制造现场还是经销商处。密钥和 FIDO USB 身份验证密钥的实现最适用于这些应用。
• 制造业：现代制造设施正在向软件定义控制、人工智能和机器人系统发展。这些解决方案的安全部署通常既耗时又昂贵。实施 FIDO 板载设备 （FDO） 可以加速部署并提高安全性。

8. FIDO联盟技术概述

与以太网最初作为 IT 网络解决方案开始一样，FIDO 标准并不是专门为汽车应用创建的。然而，它们与现代车辆高度相关，在现代车辆中，强大的网络安全是一个关键的基础要素，而不仅仅是一个理想的功能。FIDO标准，如密钥，在当今的汽车世界中被按原样使用。

FIDO 联盟的汽车应用技术组合大致可分为三个主要领域：

通行密钥：FIDO 联盟正在通过开放标准来改变身份验证，以使用通行密钥进行防网络钓鱼登录。通行密钥比密码和短信 OTP 更安全，消费者和员工更容易使用，服务提供商也更易于部署和管理。汽车制造商将密钥用于各种用例。

设备载入：FIDO 联盟制定了安全设备载入 （FDO） 标准，以确保工业和企业等领域连接设备的安全性和效率。在汽车领域，制造商可以将此标准应用于电子控制单元 （ECU） 和区域控制器之间的连接，或车辆本身与促进无线软件更新的云服务之间的连接。该标准已被 Microsoft、Dell、ExxonMobil、Red Hat 等采用。

生物识别认证：FIDO 联盟提供针对特定应用量身定制的认证计划，使用独立的测试实验室来测量生物识别传感器（如虹膜或指纹传感器）的性能。生物识别传感器正成为车辆越来越重要的组成部分。典型的用例可能是自动配置驾驶员座椅位置或作为支付系统的一部分。在这两个例子中，“良好的技术性能”的定义可能有很大差异。三星、伊兰微电子、泰雷兹、高通、Mitek、iProov 等公司都获得了 FIDO 联盟的生物识别组件认证。

9. FIDO 联盟技术深入探讨

为了更好地了解汽车制造商和 FIDO 联盟如何合作，本节讨论当前的 FIDO 技术以及它们如何与汽车应用集成。

9.1 通行密钥和用户身份验证

密钥是基于 FIDO 标准的 FIDO 身份验证凭据，允许用户使用与解锁设备相同的步骤（生物识别、PIN 或图案）登录应用程序和网站。使用通行密钥，用户不再需要输入用户名和密码或其他因素。

通行密钥是 FIDO 身份验证标准的签名实现，它们为各种服务提供安全而简化的登录。所有主要设备作系统和浏览器都支持密钥，并已被许多行业领导者使用，包括苹果、谷歌、Microsoft、三星、亚马逊、沃尔玛、PayPal 和 Visa。

下图说明了如何将通行密钥用于车载应用程序，例如当驾驶员登录到云服务时。

图 1：汽车中的通行密钥使用示例

密钥依赖于一种称为公钥加密 （PKC） 的技术，其中创建了一个虚拟密钥对，一个是私钥，另一个是公钥。对于每个私钥（存储在用户设备上），都存在一个匹配的公钥（存储在服务器上），用于检查使用私钥创建的签名。

在图中，用户（在本例中为驱动程序）首先向云服务（如支付服务）注册。在注册过程中，FIDO 身份验证器会创建私钥和公钥。私钥安全地存储在车辆的信息娱乐系统中，并与该驾驶员相关联。公钥存储在服务提供商的云端。

当驾驶员想要登录到服务时，系统会将请求从车辆发送到云服务。然后，该服务向车辆发送身份验证请求。此质询只能由持有匹配私钥的用户成功授权。为确保该请求是真实的，系统会要求司机确认他们是否要登录。这通常是通过指纹或面部等生物识别传感器实现的。验证完成后，用户将获得对服务的访问权限。此过程使用了多个 FIDO 硬件和软件组件。

9.2 密钥组件

示例中使用了三个 FIDO 认证组件：

FIDO 身份验证器

FIDO 身份验证器是一种软件组件或硬件，可以执行 FIDO 身份验证以验证所有权和/或确认用户身份。在本例中，FIDO 身份验证器可能驻留在汽车信息娱乐系统中。

FIDO 服务器

服务器为应用程序提供了一个编程接口，可以与 FIDO 认证客户端一起使用来执行强身份验证。服务器位于云应用程序内部。

生物识别组件

生物识别组件可以识别个人，通常用于补充 FIDO 身份验证器。这些传感器可以采取多种形式，包括指纹、虹膜和面部。FIDO 联盟认证生物识别子系统的功效，包括端到端性能、人口群体差异评估和演示攻击检测 （PAD）。

尽管该示例是车载用例，但可以在工厂、开发中心或经销商内部应用相同的密钥技术，以确保系统能够抵御网络钓鱼攻击或其他常见的密码攻击媒介。

9.3 车载生物识别技术

随着时间的推移，车辆中生物识别组件的安装预计将迅速增加。这些组件的性能需求因传感器类型和目标应用而异。如今，FIDO 联盟为指纹和虹膜传感器等生物识别组件提供了全面的独立认证计划。通过在询价 （RFQ） 中指定产品应经过 FIDO 认证，汽车制造商可以简化传感器的选择。有关 FIDO 认证的更多信息，请访问 https://fidoalliance.org/certification/。

9.4 FIDO 板载设备 （FDO）

当计算机设备（例如 ECU）首次连接到其管理平台（区域控制器）时，需要对其进行载入和配置。一个并行的例子可能是车辆与其云之间的连接。FIDO Device Onboard （FDO） 由 FIDO 联盟成员开发，旨在满足此类入职体验的自动化和高安全性要求。

使用 FDO 时，设备首先连接到（有线或无线）网络，然后通电。然后，设备会自动安全地载入管理平台。FDO 基于零信任架构，因此提供高级别的安全性，因为设备和管理平台都必须以加密方式相互验证自己。FDO 还提供抵御供应链攻击的弹性。

许多领先的技术提供商已经展示了 FDO 解决方案的实施，包括戴尔、Microsoft、红帽、英特尔和华擎。

10. FIDO 技术用例深入探讨

FIDO 联盟已经确定了几个可以应用 FIDO 技术来支持汽车行业的用例。本节讨论可能的用例，希望促进进一步的对话。

10.1 消费者用例

从历史上看，许多网络安全应用程序都是“幕后”的。在现代汽车中，越来越多的新应用直接影响驾驶员和乘客的车内体验，并为制造商开辟新的收入机会。其中一个领域是车载商务的出现。

有几个因素推动了车载商务的发展：

• 技术进步
  • 软件定义汽车 （SDV） 允许持续更新和新功能，而无需修改硬件。
  • 自动驾驶为车辆引入了作为生产力或休闲空间的新用例。
• 消费者期望的变化
  • 消费者要求在他们的车辆中获得类似于智能手机和其他数字设备提供的体验。
• 收入机会
  • 通过充当数字服务平台，汽车为汽车制造商和服务提供商开辟了新的收入来源。

10.2 身份验证、认证和授权

与现代车辆相关的日益增长的连接和服务带来了对身份验证、身份验证和授权的新要求。

• 身份验证：确认个人身份的过程。它可能涉及将一个人提供的信息与数据库中的记录或该人的物理文件（例如驾驶执照）进行比较。
• 身份验证：在尝试登录系统、服务和资源时，确认某人是他们所说的身份。
• 授权：身份验证后的步骤，根据访问数据或执行作来确定用户访问权限。

与智能手机和可穿戴设备等其他计算设备不同，车辆通常有多个用户，包括家人、朋友、同事或租房者。每个用户可能需要访问服务或执行与其唯一身份和凭据相关的交易。因此，车辆计算资源必须是网络安全的，并且能够管理不同用户群（包括第三方服务提供商）的安全访问和身份验证。

10.3 车载商务和认证

车辆中的商务服务与支付密切相关，因此强大且用户友好的身份验证至关重要。司机必须相信交易是安全的，制造商的目标是最大限度地减少未经授权的支付的责任，金融机构需要强大、符合标准的身份验证机制。此外， 欧洲支付服务指令 2 （PSD2） 等监管框架要求对持卡人发起的交易进行强客户身份验证 （SCA）。

SCA 需要至少结合三个因素中的两个：

• 拥有 （用户拥有的东西，例如钥匙、电话或车辆）
• 固有（ 用户是某种东西，例如指纹或面部识别等生物识别技术）
• 知识 （用户知道的东西，例如 PIN 或密码）

如果密钥身份验证器未本机集成到车辆中，则必须使用替代多因素配置来实现身份验证。这可以通过基于软件的方法来实现，例如将 PIN（知识）与车辆作为拥有因素相结合，也可以通过基于硬件的方法来实现，例如通过指纹传感器或面部识别进行生物识别身份验证（固有），同样由车辆作为拥有因素。

车载商务大致可分为三个主要领域：

按需功能

• 借助按需功能，车辆现在允许用户根据自己的需求激活特定功能。这包括先进的驾驶员辅助系统、加热座椅等舒适功能以及性能升级。
• 可以通过灵活的订阅模式或按使用付费系统提供按需功能。这些功能提高了客户满意度并为制造商创造了额外的收入来源。

车辆相关服务

• 车辆相关服务是无缝集成的服务，包括加油、电动汽车充电、停车预订和支付、洗车和通行费支付。
• 为了最大限度地提高用户便利性，该车辆充当支付中心，无需依赖智能手机。

便利功能

• 随着购物、娱乐、教育甚至远程工作功能等便利功能的实施，车辆成为用户数字生态系统的延伸。
• 例如，在旅途中订购咖啡或杂货、流媒体电影或在通勤期间参加虚拟会议。
• 这些类别表明，车辆不再只是交通方式，而是使各种服务提供商能够与驾驶员和乘客互动的平台。

10.4 用于车辆访问控制的驾驶员身份验证

车辆访问需要高水平的身份验证，非常适合生物识别传感器。

• 无钥匙进入和点火：指纹和面部识别等生物识别系统可以取代传统钥匙，为车辆访问和点火提供安全的、基于生物识别的身份验证。
• 防盗措施：车辆可以利用生物识别身份验证来防止未经授权的使用或盗窃，包括劫车。
• 车辆和 OEM 服务：车辆可以使用生物识别身份验证作为评估驾驶员权利和特权的第一步，以确定如何访问车辆服务。

10.5 个性化、车队管理和自动驾驶汽车

车辆通常是共享的，自动适应特定驾驶员的能力是一项重要功能。识别和身份验证的标准和阈值因具体应用而异。例如，调整自动驾驶汽车的驾驶员座椅调节与乘客授权。

10.5.1 个性化

• 自适应车内设置：生物识别可以识别驾驶员或乘客，以便根据存储的配置文件调整座椅位置、气候控制、信息娱乐偏好和导航路线。
• 基于使用的自适应服务：通过无缝验证驾驶员，汽车制造商可以为个人和商业场景提供基于使用的保险或租赁和融资选项。
• 车队管理
• 共享车辆和车队：支持生物识别的流程可确保汽车共享或车队系统中用户之间的平稳过渡，为每位经过验证的驾驶员加载个人设置。
• 合规性跟踪：数字钱包可以保存合规文件（例如，许可证和车辆检查报告），通过向授权用户断言合规属性来减少文书工作并增强审计准备。

10.5.2 自动驾驶汽车

乘客身份验证和身份验证：在自动驾驶汽车中，生物识别系统对乘客进行身份验证，以确保授权使用和个性化体验。

为什么密钥拥有不足以进行身份验证

物理密钥不是用户身份验证的充分形式有多种原因。

• 物理钥匙可以验证对车辆的访问，但不能确认使用它的个人的身份。在拼车、车队管理或多用户车辆等场景中，仅依靠钥匙拥有无法区分授权用户和未经授权的用户。
• 如前所述，对于支付用例，某些市场需要遵守 SCA 法规。密钥仅满足占有因素，因此不符合 SCA 对安全支付的要求。
• 车钥匙可能会丢失、被盗或复制，从而允许未经授权的个人进入。如果没有额外的身份验证层，在车辆中进行的交易可能是欺诈性的。
• 多方和平台复杂性：车内商务涉及多个利益相关者，例如原始设备制造商 （OEM）、服务提供商和用户。身份验证必须确保用户有权在所有平台和服务上进行交易，因此需要进行身份验证，而不仅仅是简单拥有。

10.6 电子系统和制造用例

10.6.1 车载ECU、区域控制器和计算上线

随着车辆内计算水平的提高，对高效、快速通信的需求变得越来越重要。为了满足这一需求，汽车越来越多地转向以 IT 为中心的架构，以太网成为连接车内区域控制器和 ECU 的首选网络技术。

除了高速和安全的通信外，还需要确保设备（ECU）和管理平台（区域控制器）都经过相互加密身份验证。虽然最初是为物联网和 IT 系统开发的，但 FIDO 联盟团队认为，FIDO 设备板载 （FDO） 可以成为自动化入职流程的一种快速、安全的方式。由于 FDO 是一种开放标准，汽车制造商可以从规模经济的节省中受益，而不是支付专有解决方案的开发和维护费用。

除了速度和安全性之外，FDO 还提供抵御供应链攻击和灰色市场假冒产品的弹性。

10.6.2 汽车到云的载入

随着汽车功能的复杂性和自动驾驶技术的提高，现代汽车本质上是一台带轮子的计算机，需要大量的软件才能运行所有功能。

大多数消息来源都认为，一辆典型的现代汽车是由大约 1 亿行代码生成的软件管理的。这种复杂性的本质证实，车辆软件在汽车产品发布时被冻结的日子不再现实。

软件更新现在是现代汽车的强制性功能，将车辆连接到制造商云的安全高效方式至关重要。

FDO 为车辆提供了一种安全、快速的方法来加入其管理平台，从而使无线 （OTA） 软件更新成为可能。

图 2：FIDO 适用于车载系统

此外，FDO标准的新更新预计将允许软件安全地部署到裸机ECU或区域控制器，这将大大简化经销商的维修和升级。

10.7 员工身份验证（密钥/FIDO 密钥）

多年来，IT 行业一直在使用 FIDO 身份验证器来确保只有授权员工才能访问系统。一些汽车经销商最近面临的挑战凸显了与该领域攻击相关的风险。

图 3：FIDO 适合劳动力身份验证

2024 年 6 月，一家汽车经销商软件提供商遭受了网络攻击，扰乱了北美数千家经销商的运营。这次攻击造成了重大破坏，包括购车者延误，经销商估计造成 10 亿美元的集体损失。

10.8 制造用例

工厂越来越少使用运动控制和 PLC 等经典的固定功能制造功能，因为它们正在转向使用更加灵活和智能的软件定义控制和基于 AI 的视觉系统。这种转变将大量通用计算机引入工厂车间。

在安装时，每台服务器或工业 PC 都需要载入其各自的管理平台（本地或云）。此入职过程通常需要熟练的技术人员手动配置设备中的凭据或密码，这一过程缓慢、不安全且昂贵。

借助 FIDO 板载设备 （FDO），技术人员可以插入工业 PC，并将其自动安全地载入管理服务器平台。

下图显示了如何使用 FDO 将工业 PC 载入本地服务器，而本地服务器又载入制造云。

图 4：FIDO 适合汽车制造

11. 为什么使用标准有帮助

网络安全标准，例如 FIDO 联盟的标准，以任何一家公司都难以实现的方式提供价值。这些基于共识的标准代表了成熟度并为行业提供了一致性，这对于可靠的身份验证和授权至关重要。FIDO 网络安全标准基于不同的专业知识，在不断变化的网络安全环境中提供清晰度，并为认证机构和监管机构制定新法律提供重要指导。

尽管汽车行业几乎从成立之初就使用了标准，但仍有一些领域公司试图开发自己的专有解决方案。此类解决方案很少能为制造商增加价值，并且需要工程人才的培养和时间的维护。

由于汽车计算平台是一个系统的系统，汽车行业可以从相关行业的经验教训中受益。由认证计划支持的开放标准有助于简化产品和服务开发。

FIDO 的标准本质上是将对网络安全至关重要的身份验证元素商品化，但这些元素并不是竞争差异化的自然领域。通过利用标准，供应商和制造商现在可以将资源和开发工作集中在更高价值的服务上。

11.1 与 FIDO 联盟合作的好处

多元化的专业知识：FIDO 联盟汇集了来自不同公司（包括云参与者、信用卡公司和制造商）的熟练专业人士。

生态系统凝聚力：标准确保生态系统内的质量、安全性和互作性，这对于支付等应用至关重要。

适应新出现的威胁：威胁形势总是在不断变化。例如，量子计算对常用的加密技术构成了重大威胁。尽管量子计算正处于相对早期的成熟阶段，但 FIDO 联盟等标准组织已经在定义如何创建量子弹性解决方案。

12. 汽车行业的 FIDO 认证计划

FIDO 联盟的世界级认证计划验证产品是否符合 FIDO 规范并有效互作，并评估安全特征和生物识别性能。这些计划拥有来自全球数百家供应商的 1,200 多种 FIDO 认证产品，为供应商和买家释放了 FIDO 开放标准的价值。通过在询价中指定 FIDO 认证，制造商可以确保其供应商能够提供高性能、安全和可互作的产品。

汽车原始设备制造商可以寻找和利用已经通过认证的组件（例如，身份验证器或生物识别组件），FIDO 联盟的认证团队还与其实验室合作伙伴一起开发汽车配置文件，复制车内环境，以进行更精确的生物识别测试。该联盟寻求汽车行业的反馈，以共同帮助我们：

• 解决当前认证规范中的空白
• 根据需要更新规格
• 发布特定部门的政策
• 实施新的测试程序

有关 FIDO 认证的更多信息，请访问 https://fidoalliance.org/certification/。

13. 结论和后续步骤

汽车行业和网络安全正在迅速发展;FIDO 联盟经过验证和成熟的标准和认证计划可以帮助广泛的汽车行业应用。应用包括车载服务和支付身份验证、区域控制器的载入、汽车到云的连接、OTA 更新以及利用生物识别技术来提供更好的驾驶员体验。

FIDO 联盟为汽车制造商及其供应商提供了一条简化开发流程、提高安全级别、改善客户体验、降低成本和挖掘新收入机会的途径。

欢迎就本白皮书中涵盖的主题提供反馈，FIDO 联盟鼓励感兴趣的各方与联盟及其成员进行交流。FIDO 联盟成员可以了解有关 FIDO 标准的更多信息，并有机会影响这些标准的发展方式。此外，会员还可以与更广泛的生态系统中来自领先公司的广泛思想领袖互动。

要参与其中，请访问 https://fidoalliance.org/members/become-a-member/ 或使用 https://fidoalliance.org/contact/ 的联系我们表格。

14. 附录A – 适用于汽车网络安全的全球立法

各国政府和国际组织已经颁布了法规，要求在整个汽车生命周期（从设计到运行甚至报废）中采取严格的网络安全措施。这些框架旨在保护车辆免受新出现的威胁，并为整个汽车生态系统的安全和信任建立基线。

联合国条例 155 和 156：这些是最突出和定义最明确的汽车网络安全法规。 UN R155 和 R156 于 2021 年在 WP.29 框架下通过，获得全球认可，并要求车辆纳入网络安全管理系统 （CSMS） 和软件更新管理系统 （SUMS）。这些法规是在 50 多个国家/地区获得型式认证的先决条件，包括大多数欧盟国家、日本、韩国和澳大利亚（联合国欧洲经济委员会，2021 年）。

ISO/SAE 21434：该标准为全球汽车网络安全工程奠定了基础，概述了在整个车辆生命周期中管理网络风险的流程。它补充了现有法规，并帮助制造商遵守 UN R155 （ISO，2021）等强制性法规。

中国GB 44495-2024和GB 44496-2024：这些法规于 2024 年夏季推出，反映了 UN R155 和 R156 ，但具体性更为详细。 GB 44495 概述了联网车辆的网络安全要求，而 GB 44496 则管理安全软件更新。中国对智能网联汽车的关注凸显了其在自动驾驶和互联技术领域处于领先地位的雄心（Shadlich，2024）。

印度的 AIS 189 和 AIS 190：印度引入了符合 UN R155 和 R156 的 AIS 189 和 AIS 190 标准，以规范联网汽车的网络安全。这些框架强调风险管理、监控、安全通信协议和安全软件更新，类似于 UN R155/R156（Vernekar，2024）。

美国：虽然没有针对汽车网络安全的强制性联邦法规，但美国国家公路交通安全管理局 （NHTSA） 已经发布了网络安全最佳实践。这些指南强调安全的车辆开发流程、事件响应计划和持续的风险监控。它们符合 ISO/SAE 21434 ，并提供了一种主动方法来缓解联网车辆中的漏洞（NHTSA，2022）。

文档历史记录

15. 贡献者

康纳·怀特，Daon， Inc
理查德-克斯莱克，FIDO联盟
Andrew Shikiar，FIDO 联盟
Nimesh Shrivastava，高通公司
德鲁·范·杜伦，高通公司
Jens Kohnen，海星有限公司 & Co. KG
Tin T. Nguyen，VinCSS 股份公司
Henna Kapur， 签证

16. 参考资料

哈雷，M.（2024 年 3 月 28 日）。欧盟网络安全法提前终止了保时捷的 718 Boxster 和 Cayman。取自 https://www.forbes.com/sites/michaelharley/2024/03/28/eu-cybersecurity-laws-kill-porsches-718-boxster-and-cayman-early/

国际标准化组织。 (2021). ISO/SAE 21434：2021 道路车辆 网络安全工程.国际标准化组织。取自 https://www.iso.org/standard/70918.html

Miller， C. 和 Valasek， C.（2015 年 7 月 21 日）。黑客在高速公路上远程杀死一辆吉普车——我也在里面。有线。取自 https://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway

美国国家公路交通安全管理局 （NHTSA）。（2022 年 9 月 7 日）。新车的网络安全最佳实践。美国国家公路交通安全局。取自 https://www.nhtsa.gov/press-releases/nhtsa-updates-cybersecurity-best-practices-new-vehicles

沙德利希，E.（2024 年 9 月 2 日）。中国新车网络安全标准：GB 44495-2024。取自 https://dissec.to/general/chinas-new-vehicle-cybersecurity-standard-gb-44495-2024/

联合国欧洲经济委员会。 (2021). 联合国第 155 号条例 – 网络安全和网络安全管理体系。联合国欧洲经济委员会。取自 https://unece.org/transport/documents/2021/03/standards/un-regulation-no-155-cyber-security-and-cyber-security

底特律慈悲大学。（nd）。车辆网络安全工程项目。取自 https://eng-sci.udmercy.edu/academics/engineering/vehicle-cyber-eng.php

Vernekar， A.（2024 年 10 月 10 日）。确保印度汽车的未来：了解 AIS-189 和车辆网络安全。取自 https://vayavyalabs.com/blogs/securing-the-future-of-indian-automobiles-understanding-ais-189-and-cybersecurity-for-vehicles/

沃尔什学院。（nd）。汽车网络安全理学学士。取自 https://walshcollege.edu/walsh-undergraduate-degree-programs/bachelor-of-science-in-information-technology/bachelor-of-science-in-automotive-cybersecurity/

Cybernews 的研究人员发现了此次泄露行为，据信是使用信息窃取者进行的，这些窃取者从多个平台收集登录数据和其他敏感凭据。“这不仅仅是一次泄密——它是大规模剥削的蓝图，”网络新闻在一份声明中说。“随着超过 160 亿条登录记录的曝光，网络犯罪分子现在可以前所未有地访问可用于帐户接管、身份盗用和高度针对性的网络钓鱼的个人凭据。”

新的密钥功能将在未来几周内向全球用户开放。要使用该功能，用户必须拥有支持 FIDO2/WebAuthn 标准的设备，这些标准在现代 iOS 和 Android 智能手机中很常见。这些标准是 FIDO 联盟和万维网联盟 （W3C） 合作制定的，为无密码身份验证提供了一个安全框架，该框架已 在整个技术行业广泛采用。

Microsoft 的举动是从传统的基于密码的登录转变的一部分。该公司表示，这些变化还旨在简化其双因素身份验证 （2FA） 应用程序中的自动填充，使体验更简单、更安全。

在过去的几年里，Microsoft 一直在使用 密钥、Windows Hello 和 基于 FIDO2 的身份验证等技术推动无密码的未来。这些方法提供了更好的保护，防止 网络钓鱼 和密码重复使用，这仍然是主要的攻击媒介。虽然一开始可能感觉很麻烦，但从长远来看，这一变化实际上旨在降低您的风险。

其中一位更知名的密码管理器现在正在邀请人们尝试它，而无需创建另一个密码。相反，Dashlane 现在邀请人们尝试开设一个新账户，该账户仅由符合“FIDO2”身份验证标准的 USB 安全密钥保护;FIDO 是 Fast Identity Online 的缩写。

强调“尝试”。该公司对 此“抢先体验”计划的支持页面 指出，它仅支持 Google Chrome 和 Microsoft Edge，不支持 Dashlane 的移动应用程序。目前，它不允许您创建一个仅由密钥保护的帐户， 密钥是更多人使用的 FIDO2 安全形式。

该页面还突出显示了一条警告，表明这是早期练习：“重要提示： 作为抢先体验计划的一部分创建的帐户仅用于测试目的。我们建议使用您的主 Dashlane 帐户来存储和管理您的数据。

周三，Facebook 宣布现在正在 移动设备上推出对密钥的支持。这意味着您将能够使用一个在 iPhone 或 Android 设备上登录 Facebook。但通行密钥不会局限于您的实际 Facebook 帐户。

Apple 在本周的全球开发者大会上 展示 的导入/导出功能将在 iOS、macOS、iPadOS 和 visionOS 的下一个主要版本中提供。它旨在解决迄今为止存在的密钥的最大缺点之一。在一个作系统或凭据管理器上创建的通行密钥在很大程度上绑定到这些环境。例如，在 Mac 上创建的通行密钥可以轻松地与连接到同一 iCloud 帐户的其他 Apple 设备同步。将它们传输到 Windows 设备甚至安装在同一 Apple 设备上的专用凭据管理器是不可能的。

FIDO 联盟于 2025 年 6 月 6 日在谷歌班加罗尔的 Ananta 园区举办了一年一度的印度工作组 （FIWG） 成员聚会和研讨会。该活动有 100 多名代表领先科技公司、金融服务提供商、电信运营商、政府机构、零售商和平台提供商的与会者，是推进印度防网络钓鱼、无密码身份验证工作的重要论坛。

该计划以 FIWG 主席 Niharika Arora（谷歌）和副主席 Tapesh Bhatnagar（G+D）的欢迎词开始，随后 FIDO 联盟主席 Sam Srinivas 发表了主题演讲。Sam 的会议对全球 FIDO 路线图进行了前瞻性概述，涵盖了密钥采用、认证和平台互作性方面的最新进展，许多与会者强调这是当天最有价值的会议之一。

整个上午，FIWG 成员组织分享了从实际部署中得出的实施案例研究。Zoho Corporation 的 Christopher Clement Soris 介绍了将密钥集成到企业工作流程中的经验教训，强调了开发人员的支持和用户信任。Times Internet 的 Vishu Gupta、Piyush Ranjan 和 Deepak Singal 分享了他们在消费者媒体平台上部署密钥的见解，重点关注用户体验挑战和账户恢复设计。万事达卡的 Shantanu Shirke 通过其支持 FIDO 的身份验证解决方案的现场演示展示了其全球金融框架 （GFF），VinCSS 的 Simon Trac Do 介绍了 FIDO 设备板载 （FDO） 协议的应用，用于安全、可扩展地引入物联网设备。

包括 Niharika Arora、Eiji Kitamura 和 Neelansh Sahai 在内的 Google Android 和 Chrome 团队提供了有关密钥平台支持的最新信息，重点介绍了 Android API、Chrome UX 流程的最新增强功能以及信赖方的最佳实践。这些更新为实施者提供了有关利用本机作系统功能实现无缝、安全登录的具体指导。

活动以题为“现代身份验证与遗留系统的结合”的小组讨论结束，由 Niharika Arora 主持，Amit Mathur （Ensurity）、Rooparsh Kalia （Mercari）、Rahul Dani （Yubico）、Tom Sheffield （Target） 和 Sam Srinivas （Google） 出席。讨论解决了在具有遗留基础设施的环境中部署基于 FIDO 的身份验证的实际挑战，包括向后兼容性、账户恢复和风险权衡。小组成员分享了坦诚的反思，并强调了分阶段整合战略和跨行业合作的重要性。

与 2024 年版相比，今年的研讨会反映了从意识建设到实施成熟度的明显演变。虽然去年的重点主要是引入密钥和 FIDO 标准的承诺，但 2025 年计划强调运营洞察力、技术执行和协作解决方案。

[观看精彩视频]

通过活动后调查，参与者对活动的实践重点表示了强烈的赞赏，并指出详细的案例研究、直接接触平台团队以及与应对类似挑战的同行建立联系的机会的价值。许多人将面对面的形式描述为在促进共同理解和建立势头方面特别有效。

随着通行密钥在印度各地的采用不断加速，印度工作组仍然是协调实施工作、交流知识和实现长期部署成功的重要平台。衷心感谢所有演讲者、小组成员和与会者的贡献，并感谢 Google 在班加罗尔接待我们。我们期待在 2025 年及以后继续开展这项重要工作。
*阅读去年的回顾： 2024 年 FIDO 联盟印度工作组聚会和研讨会

新的实现将实现跨平台无缝、安全的密钥传输，解决以前在设备和应用程序之间传输凭据的限制。该系统使用 FIDO 联盟开发的标准化数据架构来确保 iOS、iPadOS、macOS 和 visionOS 26 上不同凭证管理器应用程序之间的兼容性。随着 基于密码的攻击不断增加，标准化尤为重要，推动行业采用更安全的身份验证方法。

这些 USB 或 NFC 密钥提供了超出通常无密码方法的功能，例如同步设备 密钥 或生物识别登录。在这里，您不依赖云存储的凭据或浏览器内存。相反，一切都取决于握住钥匙并使用只有您知道的东西（例如 PIN 或指纹）进行验证。

这种向硬件安全密钥的转变正在各行各业获得动力。例如，Dashlane 刚刚推出了一项更新，使用户能够将 FIDO2 密钥作为解锁凭据保险库的主要无密码登录。

在本文中，我们将探讨 无密码身份验证 的现状、物理密钥的不同之处，以及平台如何处理恢复、可用性和长期安全性等困难部分。

“密码疲劳是真实存在的。用户需要更快、更顺畅的身份验证方式，而无需记住复杂的字符串，“HID IAM 消费者身份验证解决方案首席解决方案架构师 Edwardcher Monreal 说。

通行密钥即将在 Facebook 的 iOS 和 Android 移动设备上推出，我们将在未来几个月内开始向 Messenger 推出通行密钥。此功能推出后，您为 Facebook 设置的同一密钥也将在 Messenger 上使用。

加利福尼亚州卡尔斯巴德，2025 年 6 月 18 日 – FIDO 联盟宣布了 Authenticate 2025 的议程，这是唯一一个致力于数字身份和身份验证的行业会议，重点是使用密钥进行防网络钓鱼登录。该活动将于 2025 年 10 月 13 日至 15 日在加利福尼亚州卡尔斯巴德的 Omni La Costa Resort and Spa 举行，并提供虚拟参与选项。

Authenticate 2025 会议的重点是使用密钥实现防网络钓鱼身份验证，以及实现端到端帐户安全所需的相关考虑因素，并考虑到可用性。

访问 https://authenticatecon.com/event/authenticate-2025/ 查看完整的会议指南并在 6 月 20 日超级早鸟截止日期之前注册。

Authenticate 专为 CISO、安全战略家、企业架构师、产品领导者、用户体验专业人员以及参与从战略到实施的身份生命周期的任何人而构建。与会者将获得有关大规模部署防网络钓鱼身份验证、设计安全用户体验、了解互补技术以及满足策略和合规性要求的实用知识。

今年的活动将展示由处于无密码运动前沿的高管和行业领导者主持的主题演讲和会议。2025 年的议程已修改，包括：更长的轨道会议以进行更深入的演示，更加关注可作的同步和设备绑定密钥实施最佳实践的大师班，以及新的解决方案剧院轨道，以展示最新身份和身份验证解决方案的现场演示。今年的议程还包括更多交流和探索互动展览馆的机会，以促进合作和想法分享。

Authenticate 2025 将通过四个精选内容轨道的四个动态阶段，提供以下会议：

• 帐户入职
• 远程身份验证和校对
• 授权
• 生物测定学
• 会话安全性
• 设备载入和身份验证
• 网络安全/欺诈威胁和检测
• 数字身份/数字钱包
• 数字身份和身份验证的未来

提供赞助机会
Authenticate 2025 为公司提供了独特的赞助机会，向参与的决策受众展示解决方案。由于剩余名额有限，潜在赞助商可以了解更多信息并在 https://authenticatecon.com/sponsors/ 或联系 authenticate@fidoalliance.org 申请。

关于 Authenticate

Authenticate 是致力于推进数字身份和身份验证的首要会议，重点是使用密钥进行防网络钓鱼登录。该活动由 FIDO 联盟主办，汇集了首席信息安全官、安全策略师、产品经理和身份架构师，探讨现代身份验证的最佳实践、技术见解和真实案例研究。2025 年会议将于 10 月 13 日至 15 日在加利福尼亚州卡尔斯巴德的 Omni La Costa Resort &; Spa 举行，并将与 FIDO 联盟成员全体会议同期举行，会议将持续到 10 月 16 日。

Authenticate 由 FIDO 联盟主办，该联盟是一个跨行业联盟，提供标准、认证和市场采用计划，以通过密钥等创新加速使用更简单、更强大的身份验证。Authenticate 2025 的签名赞助商是 Google、Microsoft、Visa 和 Yubico。

要了解更多信息并注册，请访问 https://authenticatecon.com/event/authenticate-2025/，并在 X 上关注 @AuthenticateCon 。立即注册并在 2025 年 6 月 20 日之前获得超级早鸟折扣。

验证联系人
authenticate@fidoalliance.org

公关联系人
press@fidoalliance.org

苹果本周展示了一项功能，该功能解决了密钥的最大缺点之一，通行密钥是网站和应用程序身份验证的行业标准，不易受到凭据网络钓鱼和其他针对密码的攻击。

FIDO联盟和主办方赞助商泰雷兹最近举办了一场为期一天的研讨会，主题是身份验证、身份和未来道路。

研讨会探讨了员工和消费者登录身份验证的现状，重点关注 FIDO 和密钥，包括采用状态和案例研究。研讨会还为IAM专业人士讨论了其他相关主题，例如最新的攻击和威胁、身份验证技术的进步和后量子密码学。与会者有机会通过公开问答、网络和演示直接与身份验证和身份专家互动。

查看以下演示文稿：

关于专家见解：

Expert Insights 通过严格分析网络安全解决方案并消除炒作以提供清晰、可作的候选名单，从而节省您的时间和麻烦。我们专注于网络安全。所以，我们的焦点更敏锐，我们的知识更深入，我们的洞察力也更好。更重要的是，我们的建议是完全公正的。

在信息饱和的世界中，我们的存在是为了为专家提供保护其组织所需的见解。这就是为什么超过 100 万家企业使用我们来为他们的网络安全研究提供信息。

听播客。

这家支付技术公司的新安全措施正值关键时刻，因为数据显示，欧洲四分之一的企业主面临诈骗者的目标。这些企业中有四分之一对他们从潜在网络攻击中恢复的能力表示担忧。此次扩张顺应了无密码身份验证的更广泛行业趋势， FIDO 联盟报告称，企业密钥采用率显着增长。

OneSpan 表示，与 Nok Nok 联手使该公司能够为全球客户提供全面的身份验证产品组合，可在本地或云端使用。该组合产品现在包括对 OTP、FIDO、软件和硬件解决方案的支持，例如 Digipass、FIDO2 协议和用于交易签名的 Cronto 解决方案。

OneSpan 首席执行官 Victor Limongelli 将此次收购描述为“为客户提供最大身份验证选择的大胆一步”。他补充说，该公司正在发展其整个身份验证平台，以包括 FIDO 标准，相信无密码身份验证是未来的重要组成部分。凭借 Nok Nok 的技术和 FIDO 专业知识，OneSpan 旨在提供全面且多功能的客户身份验证解决方案。

Nok Nok 总裁兼首席执行官 Phillip Dunkelberger 指出，加入 OneSpan 使他们能够通过 OneSpan 的全球影响力将植根于 FIDO 等开放标准的愿景带给更广泛的受众。FIDO 联盟执行董事兼首席执行官 Andrew Shikiar 表示，Nok Nok 一直是 FIDO 生态系统的 “开拓者”。

其中一位更知名的密码管理器现在正在邀请人们尝试它，而无需创建另一个密码。相反，Dashlane 现在邀请人们尝试开设一个新账户，该账户仅由符合 “FIDO2”身份验证 标准的 USB 安全密钥保护;FIDO 是 Fast Identity Online 的缩写。

强调“尝试”。该公司对 此“抢先体验”计划的支持页面 指出，它仅支持 Google Chrome 和 Microsoft Edge，不支持 Dashlane 的移动应用程序。目前，它不允许您创建一个仅由密钥保护的帐户， 密钥是更多人使用的 FIDO2 安全形式。

这建立在公司在英国、美国、印度、日本、新加坡、澳大利亚和加拿大等市场的现有影响力之上。此外，Yubico 还在全球 117 个新地点扩展了 YubiEnterprise Delivery 的可用性。

现在，总数达到 199 个地点（175 个国家和 24 个地区），并且以快速交钥匙方式向办公室和远程用户交付 YubiKeys 的现有交付覆盖范围增加了一倍多。“当今的企业正面临不断变化的网络威胁，例如人工智能驱动的网络钓鱼攻击，”Yubico 产品高级副总裁 Jeff Wallace 说。

两家公司在周三（5 月 21 日）的 新闻稿中表示，该合作伙伴关系旨在“增强支付集成能力并为全球金融机构提供尖端解决方案”。

此次合作将 Stanchion 用于“支付系统现代化、转型和加速创新”的工具与 Entersekt 的 3-D 安全支付身份验证 解决方案相结合，该解决方案提供跨所有三个域的交易身份验证：商户收单机构域、发卡机构域和互作性域。

认识到 密钥 的兴起同样重要，因为它们在加强数字身份保护方面有很大帮助。

Shane Weeden，IBM
何安，IBM

抽象

会话劫持是在线欺诈和帐户接管的日益增长的初始攻击媒介。由于 FIDO 身份验证降低了其他更简单形式的入侵（例如撞库和网络钓鱼）的有效性，因此网络犯罪分子转向盗窃和重复使用不记名令牌。持有者令牌是一种凭据形式，包括连接到网站的浏览器使用的会话 cookie 和其他厚客户端应用程序类型（如本机移动应用程序）使用的 OAuth 访问令牌。当这些凭据是长期存在的，并且可以从创建它们的机器中“提升和转移”，以便不良行为者从另一台机器上使用时，它们的可交易价值就很大了。新兴技术，例如用于浏览器的设备绑定会话凭据 （DBSC） 和用于 OAuth 应用程序的演示拥有证明 （DPoP），旨在减少会话劫持的威胁。本文介绍了这些技术如何解决会话劫持问题，以及它们如何补充在线生态系统中强大的防网络钓鱼身份验证。

观众

本白皮书面向首席信息安全官 （CISO） 和技术人员，他们的职责是保护在线身份和访问管理的安全性和生命周期免受在线欺诈。

1. 引言

身份验证和授权是身份生命周期不可或缺的一部分，尤其是对于在线凭证生态系统而言。在线身份欺诈的威胁日益严重，代价高昂的安全事件和违规行为，促使企业寻找方法来保护其员工免受网络钓鱼、撞库和会话劫持等不同攻击媒介的帐户接管。在身份验证方面，使用密钥的 FIDO 身份验证为用户提供了“更安全、更安全、更快速的在线体验”，而通行密钥采用的增加有助于减少通过中间人 （MITM） 网络钓鱼攻击完成的凭据网络钓鱼、撞库和会话劫持等攻击媒介的成功率。但是，认证仪式之后会发生什么？

身份验证后，浏览器和应用程序客户端通常会获得其他凭据。企业应用程序通常分为两大类：基于 Web 浏览器并使用会话 cookie 进行状态管理的应用程序，以及使用 OAuth 访问令牌的厚客户端应用程序（包括一些基于浏览器的单页应用程序和大多数本机移动应用程序）。这两种类型的凭据（会话 cookie 和访问令牌）在其基本用途中都被视为“持有者”令牌。如果你有令牌（会话 Cookie 或访问令牌），则可以在该令牌的生存期内作为对该令牌进行身份验证和拥有的用户继续进行交易。本白皮书探讨了解决不记名令牌的“直接迁移”攻击媒介的相邻技术，以及这些技术如何补充基于 FIDO 的身份验证机制。本文特别关注提议的 Web 标准 设备绑定会话凭据 （DBSC）， 用于保护浏览器会话 cookie 和 OAuth 2.0 证明 用于保护 OAuth 赠款的占有证明 （DPoP）。

2. 术语

会话劫持：利用通常为会话 cookie 管理的 Web 会话控制机制。

撞库：将被盗的用户名和密码对（凭据）自动注入网站登录表单中，以欺诈性地获取对用户帐户的访问权限。

<sub>1. 密钥 – https://fidoalliance.org/passkeys/
2. 设备绑定会话凭据 – https://github.com/w3c/webappsec-dbsc
3. OAuth 2.0 证明占有证明 （DPoP） – RFC9449： https://datatracker.ietf.org/doc/html/rfc9449
4. 会话劫持攻击 https://owasp.org/www-community/attacks/Session_hijacking_attack
5. 撞库 https://owasp.org/www-community/attacks/Credential_stuffing</sub>

访问令牌：客户端应用程序用于代表用户调用 API 调用的凭据。

session cookie：由浏览器管理的凭据，用于维护浏览器和网站之间的会话状态。

持有者令牌：令牌（在本白皮书的上下文中可能指访问令牌或会话 cookie）之所以如此称呼，是因为持有令牌的人可以使用它来访问资源。不记名令牌本身可以“提升和转移”以在另一个计算设备上使用。

发送方约束令牌：受一种机制保护的令牌，该机制旨在最大限度地降低在身份验证过程中建立令牌的客户端以外的任何设备都可以在服务器端资源的后续请求中使用该令牌的风险。

设备绑定会话凭据 （DBSC）：W3C Web 标准的提案，定义了用于建立和维护发件人约束 cookie 的协议和浏览器行为。该机制使用拥有非对称加密密钥的证明来帮助缓解会话 cookie 劫持。OAuth 2.0 演示行列证明 （DPoP）：一种用于实现发送方约束访问令牌的机制，要求客户端在使用令牌时证明拥有非对称加密密钥。

OAuth 2.0 演示行列证明 （DPoP）：一种用于实现发送方约束访问令牌的机制，要求客户端在使用令牌时证明拥有非对称加密密钥。

3. 安全生态系统的相邻/互补技术

虽然 FIDO 身份验证技术可以有效消除登录过程中发生的网络钓鱼和撞库攻击，但增加解决方案来减轻与不记名令牌盗窃相关的威胁也同样重要。在登录过程中攻击被挫败的不良行为者将追踪链中下一个最薄弱的环节，并试图窃取身份验证后持有者令牌。本节探讨其中两种用于保护持有者令牌的技术：设备绑定会话凭据 （DBSC） 保护基于浏览器的会话 Cookie，演示所有权证明 （DPoP） 保护 OAuth 授权。还讨论了保护不记名代币的替代方法。

由于没有一种技术可以防范所有威胁，因此需要多种技术的组合才能获得足够的保护。

表 1：提高安全性的技术组合

技术	身份验证威胁		身份验证后威胁
	远程网络钓鱼	撞库	代币盗窃
通行密钥
DBSC/DPoP
密钥 + DBSC/DPoP

3.1 浏览器会话 Cookie 安全

在讨论设备绑定会话凭据 （DBSC） 之前，您需要了解有关浏览器会话 cookie 的问题。通过 cookie 盗窃进行会话劫持允许拥有被盗 cookie 的攻击者绕过最终用户身份验证，包括任何强身份验证或多因素身份验证 （MFA）。当浏览器创建长期会话 cookie（这是一种不记名令牌）时，这尤其成问题，因为这些 cookie 可以作为用户主要身份验证凭据的替代品进行交易，然后从攻击者的计算机上使用。这可能会导致未经授权访问敏感数据、财务损失以及组织声誉受损。

攻击者通过各种方法进行 cookie 盗窃，例如对用户现有的 MFA 登录过程进行中间人网络钓鱼（当不使用 FIDO 等防网络钓鱼身份验证时）、客户端恶意软件，偶尔还通过服务器端基础设施或软件中的漏洞进行。无论 cookie 盗窃是如何实施的，一旦成功，这些攻击不仅危险，而且难以隔离和检测。设备绑定会话凭据 （DBSC） 等补充技术使被盗 Cookie 无法从身份验证期间颁发的计算机以外的任何计算机上使用，从而最大限度地降低了与浏览器 Cookie 盗窃相关的风险。

3.2 设备绑定会话凭据 – DBSC

DBSC 是指目前在 W3C 的 Web 应用程序安全工作组内制定的拟议 Web 标准[2]。DBSC 的目标是打击和破坏被盗的网络会话 cookie 市场。这是通过定义 HTTP 消息传递协议以及所需的浏览器和服务器行为来实现的，以导致将应用程序会话 cookie 的使用绑定到用户的计算设备。DBSC 使用非对称密钥对，在浏览器实现中，攻击者应无法提取私钥 – 例如，存储在可信平台模块 （TPM）、安全元素或类似的基于硬件的加密模块中。

在高层次上，API 与用户的浏览器和安全密钥存储功能相结合，允许以下功能：

• 服务器向浏览器传达建立新 DBSC 会话的请求。这包括服务器提供的质询。
• 浏览器生成一个非对称密钥对，然后将公钥连同签名的质询一起发送到服务器。此过程称为 DBSC 注册。DBSC 的浏览器实现应使用作系统 API，以促进安全、硬件绑定的存储和私钥的使用。
• 服务器通过发出一个短期的、可刷新的auth_cookie将公用密钥绑定到浏览器会话，然后需要在后续的浏览器请求中传输到 Web 服务器。

由于auth_cookie会定期过期，因此浏览器需要一种机制来异步刷新auth_cookie到主应用程序 Web 流量。刷新过程需要使用 DBSC 注册期间创建的相同私钥对服务器发出的新质询进行签名，从而（定期）重新证明客户端浏览器仍然拥有相同的私钥。

将auth_cookie的生存期限制在很短的时间内（例如，几分钟）会扰乱长期会话 cookie 的交易市场。攻击者只能在短时间内使用窃取的会话 cookie（包括 auth_cookie），并且无法执行刷新作，因为执行刷新作所需的私钥无法从客户端计算机中提取。

DBSC 可以引入现有部署，只需对应用程序进行最小的更改。这很重要，因为 DBSC 可以很容易地作为 Web 插件模块合并到现有的服务器端技术中（例如，Apache 模块、Servlet 过滤器或反向代理功能）。这允许企业分阶段推出 DBSC 部署，而无需对所有当前基础设施进行彻底检修，并且公司可以首先确定某些关键端点或资源的优先级。

DBSC 服务器端实现也可以以允许语义的方式编写，例如：“如果浏览器支持 DBSC，则使用它，否则回退到常规会话特征。这使得用户在使用支持 DBSC 的浏览器时可以获得 DBSC 的安全优势，而无需要求所有用户先升级他们的浏览器。

有关 DBSC 协议和标准的更多详细信息，请参阅 设备绑定会话凭据说明器 ，包括向 DBSC 密钥对添加证明的企业特定扩展的提案。

3.2.1 是什么让 DBSC 成为 FIDO 的补充技术？

DBSC 标准草案允许登录过程与 DBSC API 紧密集成。FIDO 是一种使身份验证更安全且防网络钓鱼的机制，而 DBSC 是一种使持有者凭证（会话 cookie）在身份验证后更安全的机制。它们通过降低帐户接管和滥用的风险来相辅相成，使应用程序会话的整个生命周期更加安全。

3.2.2 替代解决方案

DBSC 并不是第一个建议将会话 cookie 绑定到客户端设备的标准。令牌绑定是结合了 IETF RFC 8471、 8472 和 8473 的替代方法。通过 HTTP 的令牌绑定是通过传输层安全性 （TLS） 扩展实现的，并使用加密证书将令牌绑定到 TLS 会话。令牌绑定的浏览器采用有限，并且实施起来很复杂，因为它需要在应用程序层和 TLS 安全堆栈中进行更改。基于 HTTP 标准的令牌绑定尚未被广泛采用，目前只有一种主要浏览器提供支持。

3.2.3 建议

DBSC 标准依赖于本地设备安全和作系统 API 来存储和使用绑定到浏览器会话的私钥。虽然这些私钥无法导出到另一台设备，但该密钥在本地系统上可用，并且可以由驻留在用户设备上的恶意软件执行。同样，浏览器内恶意软件仍然可以完全了解常规会话 cookie 和短期auth_cookies。DBSC 不能替代客户端恶意软件防护，并且 DBSC 的威胁模型不提供针对持久性客户端恶意软件的保护。最终，用户必须信任浏览器。

随着时间的推移，随着浏览器开始支持 DBSC，服务器能够使用支持和不支持该技术的浏览器组合使用将非常重要。一些企业可能会规定公司颁发的机器包括已知支持 DBSC 的浏览器，但许多企业不会。服务器端实现有必要考虑到这一点，在浏览器响应注册请求时使用 DBSC，并在浏览器不响应时容忍未绑定的会话 cookie。在构建或选择商业解决方案时，请确保考虑此方案，并包括在高度控制或受监管的环境或特定应用程序中实施严格要求 DBSC 的访问控制策略的能力。

在撰写本文时，DBSC 处于早期发展阶段。它是否会被浏览器供应商广泛采用还有待观察。希望通过 W3C 孵化和开发该标准将导致比以前的提案更广泛地采用，类似于采用 WebAuthn API 将密钥身份验证引入所有主要浏览器实现的方式。

4. OAuth 赠款

上一节介绍了 DBSC 作为防止 Web 浏览器中会话 cookie 被盗的一种手段。厚应用程序客户端（包括移动应用程序和单页 Web 应用程序）通常使用利用 OAuth 授权而不是会话 cookie 的无状态 API 调用。可以通过多种方式建立 OAuth 授权， 对于厚客户端，推荐的模式 是最初使用系统浏览器对用户进行身份验证，并授予应用程序代表他们执行作的访问权限。从概念上讲，这与基于浏览器的会话非常相似，包括在可能的情况下使用 FIDO 身份验证进行最终用户身份验证的能力和建议。在此流的基于浏览器的身份验证部分结束时，控制权将返回到厚客户端应用程序或单页 Web 应用程序，其中建立了用于编程 API 调用的令牌。

从这一点开始发生的挑战与浏览器所描述的几乎相同 – OAuth 令牌是持有者令牌，如果暴露给不良行为者，则可用于从远程计算机而不是合法应用程序调用应用程序 API。

本节介绍 DPoP 的使用，这是一种保护受 OAuth 保护的 API 调用中使用的凭据的“直接迁移”的技术，就像 DBSC 一样，它使用非对称密钥对和私钥的持续拥有证明。

4.1 证明占有证明 （DPoP）

OAuth 2.0 演示拥有证明 （DPoP） 是现有 OAuth 2.0 标准的扩展，用于实现设备绑定（或发件人限制）OAuth 访问和刷新令牌。它是一种应用程序级机制，允许与 OAuth 授权关联的令牌（即刷新令牌和访问令牌）使用公钥和私钥对与请求的客户端绑定。这要求客户端在执行访问令牌刷新作时向授权服务器证明其私钥的所有权，并在使用访问令牌调用 API 时向资源服务器证明其私钥的所有权。

_{6. 适用于原生应用程序的 OAuth 2.0 https://datatracker.ietf.org/doc/html/rfc8252}

高保证 OpenID 规范（例如 金融级 API （FAPI 2.0））要求使用发件人约束令牌，而 DPoP 是实现此要求的推荐方法，当双向 TLS （mTLS） 不可用时。

从高层次上讲，DPoP 要求：

• 客户端生成一个每次授权的公钥/私钥对，用于构建 DPoP 证明。最佳实践实现应使用作系统 API 来确保私钥不可提取。
• 在初始授权建立时（例如，将 OAuth 授权代码交换为授权的第一个访问令牌和刷新令牌），使用 DPoP 证明（由客户端的私钥签名的 JWT，其中包含公钥的副本等）将公钥绑定到授权。
• 使用以这种方式获得的访问令牌向资源服务器发出的请求还必须包括 DPoP 证明标头，以持续证明拥有授权建立期间使用的私钥。这是针对每个 API 请求完成的。资源服务器需要检查访问令牌是否受发送方限制，确认公钥，并在每次 API 调用时验证 DPoP 证明标头。
• 对于公共客户端，到授权服务器令牌端点的后续refresh_token流还必须包含使用初始授权建立期间使用的相同密钥签名的 DPoP 证明。这一点尤为重要，因为刷新令牌通常是长期的，并且也是一种持有者令牌（也就是说，如果你有它，你可以使用它）。授权服务器必须强制对这些刷新令牌流使用 DPoP 证明，并确保通过初始授权建立期间注册的同一公钥进行签名验证。

与任何持有者都可以使用的普通持有者访问令牌不同，基于 DPoP 的访问令牌绑定到最初建立 OAuth 授权的客户端，因为只有该客户端才能使用私钥签署 DPoP 证明。这种方法最大限度地降低了与恶意行为者交易泄露的访问令牌相关的风险。

有关详细信息，请参阅 DPoP RFC 9449 – OAuth 2.0 演示拥有证明 （DPoP）。

4.2 是什么让 DPoP 成为 FIDO 的补充技术？

在建立 OAuth 授权期间，FIDO 可用于防网络钓鱼的最终用户身份验证。客户端在此身份验证后获得的刷新和访问令牌应受到保护，以防止“直接迁移”攻击，就像基于浏览器的应用程序中的会话 cookie 一样。DPoP 是保护这些 OAuth 令牌免遭未经授权的身份验证后使用的推荐解决方案。用于最终用户身份验证的 FIDO 和用于将 OAuth 令牌绑定到客户端设备的 DPoP 相辅相成，以改善厚客户端应用程序中使用的身份的整体安全状况。

4.2.1 DPoP 替代解决方案？

RFC8705 – OAuth 2.0 互向 TLS 客户端身份验证和证书绑定访问令牌描述了一种机制，该机制提供传输器层解决方案，将访问令牌绑定到客户端证书。虽然它已被批准在 FAPI 2.0 中用于开放银行解决方案，但它并不特别适合本机移动应用程序等公共客户。

RFC9421 – HTTP 消息签名定义了用于对 HTTP 消息部分进行签名的应用程序级机制。此规范未定义客户端和验证者之间的密钥建立和共享，尽管这可以在初始授权建立期间以与 DPoP 类似的方式以 信任 方式执行。没有已知的公共规范将 HTTP 消息签名的使用映射到 OAuth 客户端应用程序中发件人约束的持有者令牌的用例。在没有这样的公共规范的情况下，该用例不太可能被广泛采用。

4.2.2 建议

发送方约束令牌是一个好主意，在某些部署中，它们是一项监管要求。例如，许多主权开放银行计划现在都强制要求使用 OAuth 的 FAPI 配置文件。DPoP 是实现此要求的一种相对简单的方法，并且足够灵活，可以涵盖广泛的应用程序客户端类型。也就是说，仍然必须注意遵守 DPoP 的安全考虑。请密切关注 RFC9449的第 11 节，并根据方案对本机或基于浏览器的单页应用程序应用其他应用程序安全策略。请记住，DPoP 仅专注于解决与代币外泄相关的威胁，其中包括恶意行为者的交易和使用。它应被视为 OAuth 应用程序深度防御策略的一部分。

5. 总结

本文的目的是激发人们对不同 Web 安全标准如何组合在一起以及这些标准如何与用户使用 FIDO 身份验证的关系进行思考。标准和标准机构如此之多，以至于通常很难理解哪些在同一领域竞争，哪些相互增强，成为在线应用程序中身份欺诈保护的全面纵深防御战略的一部分。

本文解决了一个特定的、普遍的应用程序安全问题——恶意交易和使用被盗的 cookie 和访问令牌。本文还展示了 DBSC 和 DPoP 等技术如何减轻与令牌盗窃相关的威胁，以及这些技术如何与 FIDO 身份验证相辅相成。DBSC 和 DPoP 与 FIDO 配合使用，可为您的应用程序提供更好的整体身份欺诈保护。

密钥是与用户个人设备绑定的唯一数字凭证，提供了一种无需传统密码或一次性文本代码即可验证身份的方法。

通行密钥永远不会离开设备，因此无法在网站上重复使用，这使得它们能够抵御网络钓鱼和其他常见攻击。

政府已宣布计划取代密码，作为访问其面向公众的数字服务平台 Gov.UK 的方式。

与使用密码，然后发送到用户受信任设备的附加短信或代码（称为双因素身份验证）相比，通行密钥是与特定设备绑定的唯一数字密钥，可在用户登录时证明用户的身份，而无需他们输入任何进一步的代码。

特定技术创新

虽然人工智能是展会上最热门的话题之一，但它并不是 唯一的 讨论话题。我们还听到了很多关于不断发展的勒索软件生态系统以及组织今天需要做些什么来为“Q-Day”的到来做准备的信息。

但也许第二大讨论是围绕身份和访问安全。

随着人工智能驱动的深度伪造和欺诈企图的兴起，我们看到组织比以往任何时候都更需要从密码转向更安全的身份验证方法，例如密钥，许多专家乐观地认为，这一领域将在明年得到大量采用。

主要见解：

• FIDO 联盟执行董事兼首席执行官 Andrew Shikiar 表示：“ 我们将看到 Passkey 部署在受监管行业中继续增长。这非常重要，因为解决更高保证的用例并消除密码将使越来越多的公司更有信心大规模部署密钥，这将进一步加速我们将密码完全放在后视镜中的旅程。

此举恰逢世界密码日，符合这家科技巨头对密钥承诺的更广泛承诺，这是一项旨在消除密码以支持更安全、防网络钓鱼的登录方法的行业倡议。在一篇博文中，Microsoft 高管 Joy Chik 和 Vasu Jakkal 强调，密钥用户成功登录的可能性是使用密码的用户的三倍。尽管现有帐户持有人仍然可以使用密码，但 Microsoft 正在推动他们默认使用生物识别或 PIN。几乎所有 Windows 用户都已经依赖 Windows Hello，这一转变得到了包括 Apple 和 Google 在内的行业合作伙伴的支持，他们也在其平台上推出了符合 FIDO 的密钥系统。这一变化有望全面简化安全性和用户体验。

英国政府今年将用密钥取代基于短信的数字服务验证系统，以加强网络防御。

该计划 将由英国 国家网络安全中心推出，使用开放身份验证标准 Fast IDentity Online （FIDO） 作为更“安全和更具成本效益的解决方案”。

“NCSC 认为采用密钥对于在全国范围内转变网络弹性至关重要，”NCSC 表示。该机构表示：“除了增强安全性和节省成本外，密钥还为用户提供了更快的登录体验，与输入用户名、密码和短信代码相比，每次登录可节省约一分钟。

新工作组的出现正值支付领域无密码身份验证势头日益增长之际。去年， Visa 实施了在线支付密钥，允许客户使用生物识别身份验证而不是传统密码来授权交易。

该联盟目前由 250 多个成员组成，一直在稳步扩大其在数字身份验证各个领域的影响力。

Microsoft 去年在其大多数消费者应用程序中引入了密钥支持，允许用户登录他们的帐户，而无需 2FA 方法或记住长密码。一年后，它取消了默认密码，并鼓励所有新注册者使用密钥。

PCMag 于 5 月 2 日尝试注册一个新的 Microsoft 帐户，但在发布时仍然要求输入密码。Microsoft 尚未透露更改发生的确切时间表，但您应该预计它会在未来几天内发生。

这是第一次新帐户可以完全无密码。以前，它必须在您的密钥旁边有一个。

在一篇 博文中，Microsoft 表示 98% 的密钥登录尝试成功，而密码仅为 32%。Microsoft 还为所有帐户 引入 了所谓的“简化”登录体验，该体验“优先考虑无密码登录和注册方法”。这意味着一些 UX 设计更改以突出密钥功能。

Microsoft 的新无密码计划伴随着其最近推出的优化登录 窗口 设计，其重新排序的步骤可以更好地提供无密码和密钥优先的体验。

虽然当前帐户不必泄露密码，但新帐户会尝试通过根本不提示您创建密码来将其抛在脑后：

作为简化用户体验的一部分，我们将更改新帐户的默认行为。全新的 Microsoft 帐户现在将“默认无密码”。新用户将有多个无密码选项来登录他们的帐户，他们永远不需要注册密码。现有用户可以访问其帐户设置以删除其密码。

根据今天的变化，Microsoft 将“世界密码日”更名为“世界密钥日”，并承诺在来年继续实施密钥的工作。去年这个时候，该公司在 消费者账户中实施了密钥。Microsoft 表示，它看到“每天注册近一百万个密钥”，并且密钥用户的登录成功率为 98%，而基于密码的帐户为 32%。

结果令人鼓舞，他们发现 74% 的消费者知道通行密钥，69% 的消费者至少在他们的一个帐户上启用了通行密钥。

在使用过密钥的人中，38% 的人表示尽可能启用它们。超过一半的消费者现在认为密钥比密码更安全（53%）和更方便（54%）。

密钥采用率的增加可能是由密码的缺点推动的。去年，超过 35% 的人至少有一个帐户因密码漏洞而遭到入侵。此外，如果 47% 的消费者忘记了该特定帐户的密码，他们会放弃购买。

为了进一步鼓励组织接受向通行密钥的转变，FIDO 联盟还推出了 通行密钥承诺，这是一项针对致力于采用通行密钥的在线服务提供商以及身份验证产品和服务供应商的自愿承诺。

“世界通行密钥日的建立和发展反映了这样一个事实，即各种形式和规模的组织都在采取行动，摆脱依赖密码和其他传统身份验证方法，这些方法导致了数十年的数据泄露、帐户接管和用户挫败感，这些方法危及我们互联社会的基础，“FIDO 联盟执行董事兼首席执行官 Andrew Shikiar 说。我们对全球 100 多家组织签署了我们的 Passkey Pledge 这一事实感到兴奋，我们很高兴通过各种免费提供的资产（包括我们市场领先的 Passkey Central 资源中心）支持市场迈向密钥。

完整报告可从 FIDO 联盟网站获取。

这一重大转变标志着 数字安全的 转折点，因为科技行业果断地摆脱了易受攻击的基于密码的系统。

FIDO联盟执行董事兼首席执行官Andrew Shikiar表示：“世界通行密钥日的设立和发展反映了这样一个事实，即各种形式和规模的组织都在采取行动，摆脱对密码和其他传统身份验证方法的依赖。

答案是通行密钥，它将您的帐户安全与物理设备安全联系起来，这意味着除非攻击者可以访问您的硬件和解锁方法（生物识别或 PIN），否则他们无法绕过密码登录。

与其他公司相比，Microsoft 不仅推广密钥，还推广密码删除：“如果用户同时拥有密钥和密码，并且都授予对帐户的访问权限，则该帐户仍然面临网络钓鱼的风险。我们的最终目标是完全删除密码，并拥有仅支持防网络钓鱼凭据的帐户。

负责推广密钥的组织 FIDO 联盟这次在互联网广播中“发起了一项密钥承诺，以进一步加速全球远离密码的运动”。

其最新研究发现，“超过 35% 的人的至少一个帐户因密码漏洞而遭到入侵，[并且] 47% 的消费者如果忘记了该特定帐户的密码，他们会放弃购买。这对于通行密钥的采用意义重大，因为 54% 熟悉通行密钥的人认为通行密钥比密码更方便，53% 的人认为通行密钥提供更高的安全性。

FIDO 对 Microsoft 的密码删除表示欢迎，认为这是行业领先的。“这是一个令人兴奋和开创性的里程碑，因为 Microsoft 正在为超过 10 亿个用户帐户取消密码，”其首席执行官 Andrew Shikiar 告诉我，“他们现在可以利用用户友好、防网络钓鱼的密钥。Microsoft 今天在这方面的领导地位将有助于鼓励更多的服务提供商也这样做，这使我们共同更接近密码完全出现在后视镜中的那一天。

FIDO 联盟最近还邀请公司参与 World Passkey Pledge，以创造一个更安全的未来，并克服密码的漏洞和麻烦。

泰雷兹网络安全专家 Simon McNally 表示：“长期以来，密码一直是数字安全中的薄弱环节，迫使消费者和企业陷入密码重置和潜在泄露的令人沮丧的循环。我们欢迎 FIDO 联盟对世界通行密钥日的承诺及其对无密码未来的推动。密钥提供无缝且安全的身份验证体验，消除与传统密码相关的风险和挫败感。

密钥会自动生成并安全存储，从而消除了创建和管理复杂密码的负担。它们还通过允许身份验证而不共享敏感数据来增强隐私，从而降低泄露风险。随着对数字安全的信任变得越来越重要，企业必须优先考虑无密码解决方案，以保护用户并建立品牌信心。

无密码未来的密钥承诺

为了纪念世界密码日（或以后称为世界密钥日），FIDO联盟发布了一项关于密钥使用情况的 调查 ，发现 74%的消费者知道密钥，这意味着消费者意识到密钥登录体验可以带来的潜在价值。为了支持这一点，调查还发现， 69% 的消费者至少在他们的一个帐户上启用了密钥。

此外，对于那些使用过通行密钥的人， 38% 的人表示尽可能启用它们 ，这表明一些消费者已经看到了通行密钥带来的额外用户体验和安全优势。事实上， 超过一半的消费者认为通行密钥比密码更安全 （53%） 和更方便 （54%）。许多企业和组织已经签署了 密钥承诺，包括亚马逊、苹果、谷歌、Microsoft、三星等等！

关键时刻

FIDO 联盟执行董事兼首席执行官 Andrew Shikiar 对最近的调查和 Passkey Pledge 发表了评论：

“今年的世界通行密钥日正值全球用户身份验证的关键时刻——数量迅速增长的服务提供商（包括全球前 100 大网站中的近一半）为数十亿用户帐户提供使用通行密钥而不是密码登录的选项。 超过 100 家组织 已经做出了 密钥承诺，表明他们致力于实现一个没有密码风险和负担的未来。

消费者不仅越来越意识到密钥，而且更频繁地使用它们：在我们最近的调查中，69% 的受访者至少在一个帐户上启用了密钥，38% 的受访者现在尽可能启用它们。

通行密钥使用起来非常直观，一旦用户集成了通行密钥，他们就很少回来。这对那些对依赖密码的登录过程感到沮丧的消费者（其中 35% 的人表示，他们去年因密码漏洞而遭受帐户泄露）和电子商务零售商都有好处。

这种转变不仅关乎创新或底线，还关乎底线。这是关于重建数字信任，为每个人创造一个更安全、更高效的互联网。

为了纪念世界密钥日（前身为世界密码日），FIDO 联盟将重点放在全球领先组织的真实世界密钥部署上。请继续阅读，了解各行各业的公司通过使用密钥提供更快、更简单、更安全的登录所取得的成功，展示了全球对摆脱密码的承诺。

FIDO联盟今天还发布了一项针对消费者的独立研究，以了解密钥的使用和消费者对身份验证的态度是如何演变的。研究发现，去年，超过 35% 的人至少有一个帐户因密码漏洞而遭到入侵。此外，如果 47% 的消费者忘记了该特定帐户的密码，他们会放弃购买。这对于通行密钥的采用意义重大，因为 54% 熟悉通行密钥的人认为通行密钥比密码更方便，53% 的人认为通行密钥提供了更高的安全性。完整报告可在 此处获取。

ABANCA 的 移动应用程序每月为超过 1,200,000 名客户提供服务，是该银行最大的分行。如今，超过 42% 的移动客户通过该银行的 ABANCA Key 产品使用密钥。因此，超过 11,000,000 笔高风险交易得到了保护，没有发生技术或服务事件，并且由于用户体验的优先级，他们管理的客户努力得分 （CES） 为 4.7。

Aflac 是美国第一家采用密钥的主要保险公司 Aflac 与 Transmit Security 合作启动了他们的密钥身份验证计划 如今，该项目的第一阶段仅完成，但已有超过 500,000 名 Aflac 客户注册了密钥，从而减少了 32% 的密码恢复请求。这使得每月因身份问题而拨打呼叫中心的电话减少了 30,000 次。Aflac 报告称，注册率最高的出现在注册时，这强化了 FIDO 联盟的设计指南建议，即在与账户相关的任务中提示客户。Aflac 客户对密钥的稳定、有机采用每天都在持续增长，并直接有助于降低成本和客户体验的可衡量改进。

KDDI 现在有超过1360万使用FIDO的au ID客户，因此，致电其客户支持中心的电话急剧减少（下降了近35%）。KDDI 仔细管理订阅者和非订阅者的 FIDO 采用。

LY Corporation 旗下的 Yahoo！ JAPAN ID 现在拥有 2800 万活跃的密钥用户。现在，智能手机上大约 50% 的用户身份验证使用密钥。LY Corporation表示，通行密钥的成功率更高，比短信OTP快2.6倍。

Mercari 已看到 900 万用户使用密钥注册，并正在对使用同步密钥注册的用户强制使用密钥登录。值得注意的是，自 2023 年 3 月以来，Mercari Shop 和 Mercoin（Mercari 子公司）的网络钓鱼事件为零。

Microsoft 于 2024 年开始为 Microsoft 消费者帐户推出密钥。他们现在每天看到近一百万个通行密钥注册。Microsoft 发现，使用密钥登录的用户进入其帐户的成功率是密码用户的三倍（约 98% 对 32%），密钥登录速度是传统密码 + MFA 流程的八倍，无密码首选用户体验将密码使用减少了 20% 以上。

日经新闻于 2 月份推出了通行密钥，并且已经看到数千名客户使用通行密钥。此外，他们几乎没有看到关于如何在支持台使用密钥的询问。

NTT DOCOMO 增加了通行密钥注册，现在 d ACCOUNT 用户的身份验证中使用了 50% 以上的通行密钥。NTT DOCOMO 报告称，成功的网络钓鱼尝试显着减少，自 2022 年 9 月以来，docomo 在线商店没有出现无法识别的付款，NTT DOCOMO 不断改进用户体验，包括增加其他支持密钥的服务的数量。

三星电子的 Galaxy 智能手机支持通过生物识别身份验证和 FIDO 协议快速便捷地登录。由于易用性、速度、跨服务的兼容性以及作为行业标准的地位，通行密钥成为三星电子的一个令人信服的选择。

VicRoads 是澳大利亚维多利亚州的车辆登记和驾驶执照机构。它每年注册超过 600 万辆汽车，并为超过 500 万司机颁发执照。在其密钥供应商 Corbado 部署的最初几周内，密钥的采用率大大超出了 VicRoads 的预期。用户采用了防网络钓鱼身份验证方法，受益于针对速度和安全性进行优化的无摩擦登录体验。极高的密钥激活率——在移动设备上达到 80% 的峰值，在所有平台上超过 50%——导致前 7 周内的密钥登录率达到 30%。采用率继续稳步上升，转化为可衡量的运营效益，包括减少与身份验证相关的支持票证、降低短信 OTP 成本以及改善用户体验和安全性。

Zoho Corporation 已向其 100+ 百万 zoho.com 客户推出了密钥，通行密钥采用率环比增长 30%，密码重置查询下降 10%。下一步，该公司将于 5 月开始向 Zoho Vault 客户推出。

阅读 ABANCA、Microsoft、Nikkei、Samsung Electronics、VicRoads 和 Zoho Corporation 的完整案例研究，详细了解这些公司如何发现采用密钥的好处。要通过其他记录在案的案例研究了解有关密钥实施的更多信息，请访问 FIDO 联盟的资源库。有案例研究要分享吗？ 联系我们！

加利福尼亚州山景城，2025 年 5 月 1 日 – 随着数字安全比以往任何时候都更加重要， FIDO 联盟 正在纪念 2025 年世界密钥日，发布了一项针对美国、英国、中国、韩国和日本消费者的独立研究，以了解密钥的使用和消费者对身份验证的态度是如何演变的。

研究发现，去年，超过 35% 的人至少有一个帐户因密码漏洞而遭到入侵。此外，如果 47% 的消费者忘记了该特定帐户的密码，他们会放弃购买。这对于通行密钥的采用意义重大，因为 54% 熟悉通行密钥的人认为通行密钥比密码更方便，53% 的人认为通行密钥提供了更高的安全性。

世界通行密钥日是 FIDO 联盟的年度行动号召，呼吁个人和组织采用通行密钥登录，使网络更安全、更易于访问。

研究的亮点显示，消费者对密钥的认识正在上升，并概述了了解密钥的人采用的几个主要趋势，包括：

• 74% 的消费者知道通行密钥。
• 69% 的消费者至少在其一个帐户上启用了通行密钥。
• 在使用过密钥的人中，38% 的人表示尽可能启用密钥。
• 超过一半的消费者认为密钥比密码更安全 （53%） 和更方便 （54%）。

该调查报告可在 https://fidoalliance.org/wpd-report-2025-consumer-password-passkey-trends/ 上获得，其中包括有关消费者和组织如何采用通行密钥以改善全球数字访问、身份验证和安全性的趋势的更多见解。

“世界通行密钥日的建立和发展反映了这样一个事实，即各种形式和规模的组织都在采取行动，摆脱依赖密码和其他传统身份验证方法，这些方法导致了数十年的数据泄露、帐户接管和用户挫败感，这些方法危及我们互联社会的基础，“FIDO 联盟执行董事兼首席执行官 Andrew Shikiar 说。我们对全球 100 多家组织签署了我们的 Passkey Pledge 这一事实感到兴奋，我们很高兴通过各种免费提供的资产（包括我们市场领先的 Passkey Central 资源中心）支持市场迈向密钥。

为了进一步鼓励组织接受向通行密钥的转变，FIDO 联盟还推出了 Passkey Pledge，这是一项针对致力于采用通行密钥的在线服务提供商以及身份验证产品和服务供应商的自愿承诺。在短短 20 多天内，通行密钥承诺已收到 100 多个组织的承诺。已做出密钥承诺的公司的完整列表可以 在这里找到。

随着企业和服务提供商共同寻求迎接更快的登录、更高的成功率、更少的帐户接管、更低的支持成本和更少的购物车放弃的新时代，通行密钥的可用性稳步增加，全球前 100 名网站中的 48% 已实施。

若要了解如何开始组织的无密码之旅，或立即开始使用通行密钥，请访问： https://www.passkeycentral.org/home。

给编辑的说明

• 这项 SurveyMonkey 在线民意调查于 2025 年 4 月 13 日至 14 日在全球 1,389 名 18 岁及以上的成年人中进行。本次调查的受访者是从每天在 SurveyMonkey 平台上进行调查的近 300 万人中选出的。本次调查的数据已根据年龄、种族、性别、教育和地理进行了加权，以充分反映美国、英国、中国、韩国和日本的人口构成。本次调查的建模误差估计值为正负 3.5 个百分点。
• 为了计算支持密钥的世界顶级网站和服务的比例，FIDO 联盟将公开信息与自己的密钥部署数据相结合。

关于 FIDO Alliance

FIDO（在线快速身份识别）联盟成立于 2012 年 7 月，旨在解决强身份验证技术之间缺乏互操作性的问题，并解决用户在创建和记住多个用户名和密码时面临的问题。 FIDO Alliance正在通过更简单、更强大的身份验证标准来改变身份验证的性质，这些标准定义了一组开放、可扩展、可互操作的机制，以减少对密码的依赖。 在对在线服务进行身份验证时，FIDO 身份验证更强大、更私密、更易用。 有关更多信息，请访问 www.fidoalliance.org。

联系方式

press@fidoalliance.org

在 2025 年世界通行密钥日之前，FIDO 联盟委托对美国、英国、中国、韩国和日本的 1,389 人进行了一项独立调查，以提供有关身份验证偏好如何实时演变的更多见解。

研究表明，人们继续在与传统密码作斗争：

• 36%的受访者表示，他们至少有一个帐户因密码薄弱或被盗而遭到入侵。
• 48%的人承认他们放弃了在线购物，只是因为他们忘记了密码。

阅读本电子书中的完整调查结果。

PWG 将专注于三个领域：

1. 确定并评估支付身份验证的具体要求。要求将包括用户体验、安全性和支付特有的监管领域的要求;
2. 识别和评估现有和新兴的解决方案，以满足支付身份验证要求;和
3. 使用密钥和/或建议的 FIDO 解决方案以及现有支付技术（如 EMV® 3-D Secure 或 EMV® SRC）的指南。

PWG 还将开展与使用 FIDO 解决方案进行支付相关的相关项目，包括：收集和发布部署案例研究，记录挑战和问题的潜在解决方案;并与 FIDO 联盟联络伙伴合作，推动教育和采用。

加入支付工作组

有兴趣参与 PWG 并推动采用通行密钥进行支付的组织可以立即咨询。FIDO 联盟的所有董事会、赞助商和政府级成员都可以参与 PWG。有兴趣参与的非成员组织应联系 FIDO 联盟成为会员;请访问 https://fidoalliance.org/members/become-a-member/ 了解更多信息。

Microsoft 帐户 （MSA） 跨 Xbox、Microsoft 365、Copilot 等服务提供面向消费者的体验。2023 年，Microsoft 开始在这些服务中推出密钥支持，允许用户使用面部、指纹或设备 PIN 而不是密码登录。通过集成 FIDO 凭据，我们消除了对密码的需求，使超过 10 亿用户访问其 Microsoft 帐户变得更加容易、快捷和安全。

你试图克服哪些挑战？

我们着手解决三大挑战：

安全： 密码本质上是不安全的，并且极易受到网络钓鱼和暴力攻击。2024 年，我们观察到每秒超过 7,000 次密码攻击。

用户体验： 密码令人沮丧——用户忘记密码、重复使用密码或输入错误密码。我们希望用户每次都能在第一时间成功登录体验。

大规模采用： 我们需要一种能够跨设备和平台运行的解决方案，同时满足全球用户群的高可用性期望。

为什么选择 FIDO 身份验证而不是其他选项？ 您认为实施 FIDO 的优势是什么？

FIDO 凭证提供了安全性、可用性和互作性的理想组合。它们可以抵抗网络钓鱼和凭据盗窃，并且无需密码等共享机密。FIDO 凭证还支持无缝的跨设备和跨平台体验，这对于消费者用例至关重要。在测试中，我们发现通行密钥既提高了安全性，又提供了显着改善的用户体验。

描述您推出 FIDO 身份验证的情况。

Microsoft 采取了分阶段的方法。我们首先在 Xbox 和 Copilot 等消费者服务中启用 MSA 登录的密钥。从那里，我们进行了用户体验更改，以优先考虑无密码选项。默认情况下，新的 Microsoft 帐户现在是无密码的，并且会引导现有用户在登录期间或登录后注册密钥。在整个过程中，我们与苹果和谷歌等平台合作伙伴密切合作，并继续与 FIDO 联盟保持长期合作，以确保我们的方法符合行业标准。有关我们的方法的更详细了解，请参阅说 服十亿用户喜欢密钥：来自 Microsoft 的 UX 设计见解，以提高采用率和安全性。

您可以分享哪些数据点来显示 FIDO 身份验证的影响？

影响是巨大的：

• 我们现在每天看到超过 100 万个通行密钥注册。
• 使用密钥登录的用户成功率提高了三倍（成功率为 95%，而密码为 30%）。
• 密钥登录速度是传统密码 + MFA 流的八倍。
• 我们首选的无密码用户体验已经将密码的使用量减少了 20% 以上。

这些结果证实，FIDO 身份验证提高了安全性，提高了用户满意度，并减轻了密码重置和支持呼叫等作负担。

在 Microsoft 博客中阅读更多内容。

日经新闻公司和日经集团追求其使命，“成为全球社区最值得信赖的独立优质新闻提供商，帮助我们的客户做出更好的决策”。我们提供各种媒体服务，包括日经新闻，它是我们作为新闻机构角色的基石。支持日经集团数字服务（包括我们的核心服务日经在线版）的综合 ID 平台是“日经 ID”。

提供广泛服务的日经 ID 长期以来一直面临平衡安全性和可用性的挑战。虽然我们实施了改善 OpenID Connect 登录体验、引入双因素身份验证和验证码 （*1） 等措施来降低未经授权访问的风险，但解决与密码泄露和重复使用相关的安全风险以及应对日益复杂的攻击一直很困难。

(*1)一种安全身份验证方法，用于验证用户是否为人类。

在此背景下，随着 FIDO 身份验证的发展和向服务引入通行密钥的门槛的降低，日经 ID 带着很高的期望进行考虑和实施。目前，我们不仅在扩展功能，还支持移动应用程序，旨在通过内部和外部博客文章、演示和日经 ID Lounge 帮助中心的指导提高用户意识来促进通行密钥的采用。

你试图克服哪些挑战？

主要目标是平衡安全性和用户体验。许多日经ID用户不习惯数字服务，因此仅仅增强安全性是不够的。例如，验证码的引入虽然可以防止暴力密码攻击，但对于无法通过图灵测试（*2）的用户来说，它也可能成为障碍，导致支持查询增加，增加客户服务负担。

(*2) 确定某物是否“类人”的测试。

然而，FIDO身份验证（通行密钥）通过与作系统和平台的集成作为标准，实现了高安全性和用户体验。这使我们能够取代安全措施，这些措施可以降低与密码身份验证相关的风险，但会对密钥的用户体验产生负面影响。

为什么选择 FIDO 身份验证而不是其他选项？ 您认为实施 FIDO 的优势是什么？

以下两个选项被认为是 FIDO 身份验证（密钥）的替代方案：

• 强制实施双因素身份验证，例如 TOTP 或电子邮件验证
• 使用其他 ID 平台进行社交登录

通过比较这些选项，我们认为 FIDO 身份验证（密钥）具有以下优势：

• 它允许通过在现有密码身份验证之上添加身份验证来逐步过渡
• 它允许使用更高的用户体验身份验证方法，例如生物识别身份验证
• 它从根本上解决了与密码相关的风险

在实际实施中，“附加认证”方面尤为重要。换句话说，它允许以松散耦合和高度内聚的方式实现，而不会破坏现有的 ID 模型。WebAuthn 规范为每个平台上的后端和前端提供了简单的接口库和 API，使安全实施变得容易。此外，由于可以保留现有的身份验证方法，因此不会显着增加支持工作量的优势也很大。

描述您推出 FIDO 身份验证的情况。

我们使用开源后端库 WebAuthn4J 实现了自己的解决方案，用于 FIDO 身份验证。我们选择 WebAuthn4J 不仅因为它的数据模型清晰，还因为它通过了 FIDO 联盟提供的 FIDO2 测试工具。对于前端，我们开发了自己的实现，直接与 WebAuthn API 交互。此外，我们还创建了一个测试库来模拟 FIDO 身份验证，从而实现 24 小时自动化测试，作为对这些实现的全面测试。

FIDO 身份验证（密钥）的推出按以下步骤进行：

• 内部 Beta 测试以收集反馈并监控使用情况
• 外部安全公司的白盒和黑盒测试
• 向所有用户公开发布

您可以分享哪些数据点来显示 FIDO 身份验证的影响？

由于今年 2 月刚刚发布，我们还无法提供详细的数字，但已经有成千上万的用户在使用密钥。此外，我们听说支持台几乎没有关于如何使用密钥的询问，我们认识到密钥的使用很顺利。

资源

实现部分中提到的模拟 FIDO 身份验证的测试库作为 Nikkee 的开源软件公开提供。您可以从以下 https://github.com/Nikkei/nid-webauthn-emulator 获得它

对于完成 FIDO 身份验证（通行密钥）后的授权，我们使用 OpenID Connect 平台 Authlete。在本案例研究中，我们表达了对引入 FIDO 身份验证（密钥）的热情。（在 2023 年进行此演示时，密钥仍在考虑中） https://www.authlete.com/ja/resources/videos/20231212/02/

实施考虑阶段的技术博客文章： https://hack.nikkei.com/blog/advent20241221/

背景：VicRoads

VicRoads 是澳大利亚维多利亚州的车辆登记和驾驶执照机构。它每年注册超过 600 万辆汽车，并为超过 500 万司机颁发执照。

VicRoads 是维多利亚州政府、Aware Super、澳大利亚退休信托基金和麦格理资产管理公司的合资企业，是该州重要的公共服务提供商。

挑战：为政府服务提供无缝且经济高效的身份验证

VicRoads 旨在通过为数百万人提供安全、无摩擦的服务，成为澳大利亚最值得信赖的数字政府服务提供商。

鉴于 VicRoads 代表其客户持有的数据的重要性，安全性一直是首要考虑因素。

过去，为了支持客户数据保护，VicRoads 强制要求通过短信一次性密码 （OTP） 和身份验证器应用程序对所有用户帐户进行多重身份验证 （MFA）。

通行密钥在登录过程中利用生物识别、面部识别、PIN 或滑动模式。与传统 MFA 不同，通行密钥需要存储私钥的设备和本地身份验证，这意味着它们既能防网络钓鱼又具有成本效益。

解决方案：Corbado 提供无风险、密钥优先的解决方案，集成工作最少

VicRoads 与密钥供应商 Corbado 合作，优先考虑经过验证的方法，而不是从头开始构建解决方案。

Corbado 对客户体验和最新身份验证技术的深刻理解使 VicRoads 相信客户会发现使用密钥很容易。

Corbado 还就密钥特定挑战提供了深入的技术指导，包括浏览器兼容性、恢复流程和用户体验优化——进一步巩固了 VicRoads 的信心。

“我们选择 Corbado 是因为它可以将密钥功能集成到我们现有的基础设施中，而不会中断我们的客户和运营”， VicRoads 首席技术官 Crispin Blackall 说。

实施：预构建的、经过密钥优化的组件和 SDK 可实现快速集成

Corbado Connect 与 VicRoads 的现有基础设施和 CIAM 无缝集成，CIAM 深深嵌入到组织的企业堆栈中。这种密钥启用无需迁移用户数据或身份验证方法即可实现，确保数百万用户顺利高效地过渡。

通过在 VicRoads 当前的身份验证系统之上分层密钥功能，Corbado 实现了无摩擦部署，同时保留了所有现有用户凭据。这种方法消除了通常与引入新技术相关的中断和风险。

为确保平稳过渡，VicRoads 从个人客户开始分阶段推出通行密钥。这种逐步部署在 Corbado Connect 的推出控件的支持下，使 VicRoads 能够监控性能、解决潜在问题并优化用户体验，然后将密钥身份验证无缝扩展到合作伙伴和企业客户。

结果：客户喜欢通行密钥，前几周通行密钥激活率高达 80%

在部署的最初几周内，密钥的采用率大大超出了 VicRoads 的预期。用户采用了防网络钓鱼身份验证方法，受益于针对速度和安全性进行优化的无摩擦登录体验。

极高的密钥激活率——在移动设备上达到 80% 的峰值，在所有平台上超过 50%——导致前 7 周内的密钥登录率达到 30%。采用率继续稳步上升，转化为可衡量的运营效益，包括：

• 减少与身份验证相关的支持票证
• 降低短信一次性密码成本
• 改进的用户体验和安全性。

到目前为止，VicRoads 已成功在其门户网站上推出了密钥。下一步是将密钥集成到其本机应用程序（myVicRoads 和 myLearners）中，允许用户无需额外设置即可利用现有的密钥。最终，一旦通行密钥在所有数字平台上完全实施，VicRoads 的目标是完全消除密码，最大限度地提高安全性并充分拥抱无密码的未来。

“通行密钥易于使用，而不会影响安全性。我们很高兴能为客户提供一种更简单、更安全的方式来处理他们的注册和许可服务，“VicRoads 首席技术官 Crispin Blackall 说。

机遇：为政府认证树立新标准

凭借全球最大的公共部门密钥部署之一，VicRoads 已成为政府应用程序身份验证现代化领域的数字领导者。

VicRoads 在不中断的情况下实现了高采用率，证明大型组织可以同时增强安全性和改善用户体验。这一成功使 VicRoads 成为其他寻求现代化身份验证策略的政府机构的标杆。

“密钥代表了我们如何向数字身份服务验证用户的范式转变，” FIDO 联盟首席执行官 Andrew Shikiar 说。 “VicRoads 对密钥的采用展示了政府机构如何利用这一全行业的创新来保护人们的数据，同时简化对关键服务的访问。这是维多利亚州及其他地区迈向更安全、更高效的数字未来的重要一步。

后续步骤：开发下一代身份验证

VicRoads 与 Corbado 的持续合作确保其始终处于身份验证创新的前沿，同时为其不断扩大的数字服务基础保持无缝的用户体验。Corbado 托管密钥服务的一个关键优势是其内置的增强采用率优化，确保持续改进和无缝的 WebAuthn 与所有未来的 WebAuthn 更新保持一致。

通过这一举措，VicRoads 为政府和公共部门更广泛地采用密钥铺平了道路，证明了大规模安全、无摩擦的身份验证是可以实现的。

关于 Corbado

Corbado 是密钥解决方案的领先提供商，使企业和政府机构能够无缝部署密钥身份验证，而无需用户迁移。Corbado 的重点是最大限度地提高大规模部署的采用率。作为 FIDO 联盟成员，Corbado 的解决方案可确保高采用率、增强的安全性和顺畅的用户体验。访问 https://www.corbado.com/。

Zoho Corporation 在几乎所有主要业务类别中拥有超过 55 个应用程序，是世界上最多产的科技公司之一。Zoho 总部位于印度钦奈，是一家私营企业，盈利能力强，在全球拥有 18,000 多名员工。Zoho 致力于保护用户隐私，不依赖广告收入商业模式。该公司拥有并运营其数据中心，全面监督客户数据隐私和安全。全球超过 1 亿用户（数十万家公司）信任 Zoho 来经营他们的业务，包括 Zoho 本身。欲了解更多信息，请访问 zoho.com.

您试图克服哪些挑战？

安全、轻松地登录，而不是传统的身份验证方法。

为什么选择 FIDO 身份验证而不是其他选项？ 您认为实施 FIDO 的优势是什么？

改进了安全性、支持文档和社区。

描述您推出 FIDO 身份验证的情况。

我们通过 IAM 团队自己滚动。

我们首先为 zoho.com（100mn + 用户）推出了密钥身份验证

将于 2025 年 5 月在我们的密码管理器 Zoho Vault 中推出密钥管理

您可以分享哪些数据点来显示 FIDO 身份验证的影响？

密钥采用率环比增长 30%

密码重置查询下降 10%

资源

• https://help.zoho.com/portal/en/kb/accounts/sign-in-za/articles/passkey
• https://www.zoho.com/vault/features/passkeys.html

三星电子的 Galaxy 智能手机支持通过生物识别身份验证和 FIDO 协议快速便捷地登录。

你试图克服哪些挑战？

基于 FIDO 的密钥消除了对传统用户名和密码的需求，从而改变了用户访问网站和应用程序的方式。密钥不是存储在可能暴露的服务器上，而是安全地存储在 Galaxy 设备上，从而可以使用生物识别身份验证实现快速、安全的登录。

为什么选择 FIDO 身份验证而不是其他选项？ 您认为实施 FIDO 的优势是什么？

FIDO 可实现安全身份验证，而无需将用户的生物识别数据传输到设备外部。其易用性、速度、跨服务兼容性以及行业标准地位使其成为三星电子的一个令人信服的选择。

描述您推出 FIDO 身份验证的情况。

我们将 FIDO 身份验证直接集成到我们的设备中，使用户能够开箱即用地访问它。我们将继续将 FIDO 支持扩展到更多 Galaxy 型号和软件更新。

资源

• https://www.samsung.com/levant/support/apps-services/how-to-create-and-use-a-passkey/
• https://www.samsung.com/ca/support/apps-services/how-to-create-and-use-a-passkey/
• https://news.samsung.com/in/the-knox-journals-the-passwordless-future-of-security

我们的手机银行应用程序是我们银行最大的分行，每月为超过 1,200,000 名客户提供服务。这些客户需要针对身份盗窃攻击提供最佳保护，而我们提供最强大和创新的解决方案，始终优先考虑最佳用户体验。ABANCA Key 是一项基于 FIDO 标准的新型身份验证服务。它是经过领先企业多年研究以防止身份盗用攻击而推出的。使用密钥，ABANCA Key 提供最高级别的保护。它们是不可能猜测或重复使用的，因此它们可以保护我们客户的私人信息免受攻击者的侵害。

你试图克服哪些挑战？

一方面，存在安全挑战。在西班牙，通过电话和短信进行网络钓鱼的兴起已成为政府、移动运营商和金融机构的瘟疫和真正问题，但另一方面，需要以最小的摩擦保持最佳的用户体验。密钥为我们提供了一个互作性和标准化的框架，这为我们提供了实施和部署的便利性。然而，最重要的是，它在安全行业中首次提供了一个同质化框架，以实现无摩擦的用户体验。

为什么选择 FIDO 身份验证而不是其他选项？ 您认为实施 FIDO 的优势是什么？

我们选择 FIDO 的原因有很多：因为它的未来战略，因为它允许我们遵循多种方式，包括 MFA 和无密码，以获得信任，因为 FIDO 联盟包括安全、作系统、基础设施和移动生态系统领域的领先企业;以及它为我们提供的标准化和同质化，从而减少了实施、部署和推出时间。

描述您推出 FIDO 身份验证的情况。

为了提供最佳的用户体验，我们致力于对技术有最深入的理解。这使我们能够有效地识别和解决问题，并更好地了解用户行为。我们根据 FIDO 标准开发自己的平台，并像提供商一样对其进行认证，从而成为我们自己的合作伙伴。

我们分阶段推出部署。在不到五个月的时间里，我们准备好了服务器和前端（iOS 和 Android）的开发，并在初始阶段与我们的员工一起开始推出，随后分批向最终客户推出。在短短七个月内，我们已经向所有客户全面推出。

您可以分享哪些数据点来显示 FIDO 身份验证的影响？

• 超过 42% 的客户已经在使用 ABANCA Key
• 超过 11,000,000 笔高风险交易已通过 ABANCA Key 得到保护，没有发生技术或服务事件
• 客户推出时没有发生技术或服务事件，最重要的是，通过我们的客户旅程用户体验来登录 ABANCA Key 并使用它，我们的客户努力得分 （CES） 为 4.7。

请提供您认为对开发此案例研究有用的任何链接或资源。

• https://comunicacion.abanca.com/es/noticias/abanca-primer-banco-espanol-en-implantar-la-tecnologia-de-llaves-de-acceso-en-la-banca-movil-para-reforzar-la-seguridad-de-sus-clientes/
• https://www.abanca.com/es/banca-a-distancia/llave-abanca/

在他的日常在线旅程中，某个地方，一个网站或应用程序（身份验证术语中的“依赖方”）提示他创建密钥。但他并不清楚好处。似乎也没有任何紧迫感。他认为我会知道 什么是通行密钥 ，以及下次他被提示设置密钥时该怎么做。我告诉他，“在你做任何事情之前，我们先谈谈。

除了 赛门铁克 和 科芬斯最近的报告之外， 瓜迪奥 现在还警告说，“随着生成式人工智能的兴起，即使是初学者现在也可以发起复杂的网络钓鱼诈骗——不需要编码技能。只需几个提示和几分钟。

Microsoft 刚刚告诉用户同样的事情。“人工智能已经开始降低欺诈和网络犯罪行为者寻找自己的生产力工具的技术门槛，从而更容易、更便宜地以越来越快的速度生成可信的内容来应对网络攻击……人工智能驱动的欺诈攻击正在全球范围内发生。

FIDO（ 快速在线 身份）认证已获得 FIDO 联盟的认证，该联盟是领先的国际协会，致力于推广比密码或一次性代码更强大、更简单的数字身份验证标准。该联盟由世界领先的科技公司（谷歌、苹果、Microsoft、亚马逊和 Visa 等）组成，他们联手推广更强大、更用户友好的数字身份方法。凭借 Llave ABANCA 的 FIDO 认证，该全球联盟认可该银行实施的解决方案符合在线身份验证的最高标准。

RSA Security 的首席产品和技术官（兼常驻 IT 专业人员）Jim Taylor 与 IT Brew 讨论了他在领导整个组织部署 通行密钥、生物识别和其他非密码实施时所吸取的经验教训。他说， 无密码成功的两个主要关键包括有很多选择和足够的耐心。

“没有大的转变。我希望有一个红色的大按钮，你可以按下它，然后用无密码说“Ta-da！”，对吧？它不是那样工作的，“泰勒告诉 IT Brew。

在现场的 70+ 名参与者中，我们很荣幸地迎来了代表三星电子、NTT Docomo、联想、RaonSecure、Egis Technology 和 Mercari 的六名 FIDO 联盟董事会成员，这凸显了本次聚会的全球参与和战略重要性。

在主要活动之前，国际与会者受邀参加了一场特别的TTA实验室之旅，了解韩国支持FIDO和其他电信技术的测试和标准基础设施的幕后花絮。

展示技术领导力和区域合作

这一天有一系列令人兴奋的专家演讲和教育会议，反映了密钥作为公共和私营部门值得信赖、防网络钓鱼和用户友好的身份验证解决方案的作用不断扩大。

• 活动以 Koichi Moriyama 博士 （FIDO 日本工作组主席;W3C 顾问委员会成员），他强调了全球协作在制定可互作、安全的技术标准方面的重要性。
• FIDO 联盟高级技术总监 David Turner 分享了有关密钥进步的深入更新，并强调了未来的重点领域，包括开发人员支持、用户体验和更广泛的国际参与。
• 工研院的黄伟忠对通行密钥和PKI进行了深思熟虑的比较，概述了两者如何在现代身份验证架构中共存和互补。
• 首席软件工程师兼 FKWG 副主席 Ki-Eun Shin 为构建可扩展且安全的密钥系统的开发人员提供了实用指南，涵盖实施、测试和用户体验注意事项。
• AirCuve 的 Dovlet Tekeyev 介绍了韩国更新的零信任指南 2.0，向观众介绍了关键原则、建议以及 FIDO 解决方案如何与国家网络安全战略保持一致。
• RaonSecure 副总裁 Eugene Lee 分享了基于 FIDO 的生物识别身份验证的跨行业部署经验，强调了其对金融和电信等不同行业的适应性。
• 三星电子首席安全工程师 Jong-Su Kim 在技术会议结束时分享了三星通过 FIDO 驱动的创新简化所有用户网络安全的愿景。

区域洞察和共同势头

当天的代表包括来自 日本 （Fjwg 联合副主席兼 Mercari 首席信息安全官 Naohisa Ichihara）、 中国 （Henry Chai，FCWG 主席兼联想子公司 GMRZ Technology 首席执行官）、 台湾 （Karen Chang，FTF 论坛主席兼 Egis Technology 副总裁）、 马来西亚 （Sea Chong Seak，Securemetric 首席技术官）、 和 越南 （Simon Trac Do，VinCSS 首席执行官兼创始人），分别介绍了有关密钥部署的本地更新。演讲者分享了技术挑战、用户采用以及跨境合作日益增长的重要性，以加速亚太地区无密码的未来。

共同推动无密码向前发展

FIDO 亚太地区会员聚会和研讨会重申了我们在整个地区推进防网络钓鱼无密码身份验证的集体承诺。感谢所有为这次充满活力和前瞻性的活动做出贡献的演讲者、赞助商和与会者。

请继续关注亚太地区的更多跨区域合作活动以及 FIDO 联盟的最新动态，我们将继续共同使在线身份验证变得更简单、更强大。

加利福尼亚州山景城，2025 年 4 月 9 日 – FIDO 联盟邀请世界各地的组织做出 Passkey Pledge，这是一项自愿承诺，旨在提高对 Passkey 登录的认识和采用，以使网络更安全、更易于访问。

自 2022 年将通行密钥推向世界以来，数百家服务提供商已经接受了通行密钥为用户带来的更高安全性和可用性。现在有超过 150 亿个用户帐户配备了使用密钥的选项，而不是依赖密码，密码很容易被窃取和重复用于帐户接管和欺诈。部署密钥的组织不断发现，更大比例的用户能够在更短的时间内登录服务，这有助于增加收入和/或员工生产力，同时减少欺诈和帐户接管。

为了进一步推进和推广通行密钥的使用，每年 5 月的第一个星期四现在被定为世界通行密钥日（以前称为世界密码日）。企业可以在世界通行证日之前做出通行证承诺，并承诺在全年为实现以下目标而做出真诚的努力：

• 对于已积极实施登录密钥的服务提供商 – 在签署承诺后一年内，展示为显着增加用户在登录公司服务时对密钥的使用而采取的措施。
• 对于正在实施登录通行密钥的服务提供商 – 在签署承诺后一年内，展示为启用通行密钥登录公司服务而采取的可衡量措施。
• 对于拥有基于 FIDO 的产品和/或服务的供应商 – 在签署承诺后一年内，展示通过采用公司产品和/或服务来显着增加密钥使用而采取的行动。
• 对于开发基于 FIDO 的产品和/或服务的供应商 – 在签署承诺后一年内，展示可衡量的行动，以 FIDO 认证其产品并推出支持密钥登录的产品或服务。
• 对于行业协会和标准组织 – 在签署承诺后一年内，展示提高密钥登录的可见性和优势的行动。

做出承诺的组织将获得资产来支持其参与，并将有机会参加计划于 2025 年 5 月 1 日世界通行密钥日举行的活动和公告。

有关承诺的更多详细信息，包括注册表，请访问 https://fidoalliance.org/passkeypledge/。

采取行动：帮助组织履行承诺的资源

FIDO Alliance为 通行密钥 Pledge 组织提供了采取行动的资源和最佳实践，包括：

• 通过外部沟通渠道分享他们对 通行密钥 承诺的承诺
• 利用有关 passkeycentral.org 的指南来规划、实施和扩展其密钥部署
• 实施 FIDO 设计指南，用于密钥部署的数据驱动型 UX 最佳实践
• 获得 产品 FIDO 认证 ，以证明其产品合规、可互作且安全
• 代表他们或他们的客户发布案例研究，以分享实施历程和业务成果。组织可以联系 info@fidoalliance.org ，直接向 FIDO 联盟提交案例研究
• 参与 FIDO Alliance成员活动和工作组，以进一步推动密钥优化和采用
• 计划和/或采取措施 删除密码作为登录选项。

关于 FIDO Alliance

FIDO（在线快速身份识别）联盟成立于 2012 年 7 月，旨在解决强身份验证技术之间缺乏互操作性的问题，并解决用户在创建和记住多个用户名和密码时面临的问题。 FIDO Alliance正在通过更简单、更强大的身份验证标准来改变身份验证的性质，这些标准定义了一组开放、可扩展、可互操作的机制，以减少对密码的依赖。 在对在线服务进行身份验证时，FIDO 身份验证更强大、更私密、更易用。 有关更多信息，请访问 www.fidoalliance.org。

联系方式

press@fidoalliance.org

密钥传输功能正在集成到 Google 密码管理器中，最新版本的 Google Play 服务包含对密钥导出和导入工具的直接引用。这些发展是谷歌为增强 Android 平台上的身份验证安全性和可用性而做出的更广泛努力的一部分。根据 FIDO 联盟最近的研究，该倡议出台之际，企业对密钥的采用率不断增长。

首先是好消息。谷歌对将垃圾邮件大量发送到您的收件箱的收紧限制正在发挥作用，它正在对行业产生毁灭性影响，从而用营销信息困扰您。“在过去的一年里，”网站 MarTech 表示，该行业的“参与率（尤其是打开率和点击率）大幅下降。他们的电子邮件只出现在已经与该品牌互动的人的收件箱中。对于大多数订阅者来说，这些电子邮件被标记为垃圾邮件。

AndroidAuthority 的 APK 拆解发现，谷歌可能正在进行潜在的更新，允许您将密钥从一台设备导出到另一台设备。

密码导出和导入已经是许多 最好的密码管理器的关键功能，但通行密钥的相同功能将是向前迈出的一大步。

该报告揭示了现实世界的安全风险与过时的身份验证方法之间日益不一致的情况。

它还强调了与过时的身份验证方法相关的日益增长的风险以及新的生成 式人工智能相关攻击的兴起。

然而，该报告标志着打击基于身份的攻击的潜在转折点， FIDO 密钥 等防网络钓鱼身份验证方法有望在未来两年内成为主要解决方案。

该公司表示，这是该报告五年历史上的第一次。