Passkey 的远程证明陷阱：你能不能用，由网站说了算
来源：mjtsai.com — 2026-10-15
📋 概述
Michael Tsai 收录了一篇对 passkey 远程证明的批评与一位标准参与者的反驳。批评方的核心论点是：passkey 与密码不同，用户并不真正拥有它，而 FIDO 标准里的 attestation 给了网站一个调节旋钮，可以逐步只接受「已证明」的 passkey，从而排斥第三方凭据管理器或特定设备。反驳方 Ricky Mondello 强调证明只用于高保障和企业场景，消费级大规模认证不支持也不打算支持，这是设计上的明确非目标。
🔑 核心要点
- 关键比喻：passkey 上有一个隐藏旋钮，网站可以一点点收走你对凭据的处置权
- 担心的是渐进式收紧：先不要求证明，等用户基数足够大再分批拒绝未证明的 passkey，几年后没人记得曾经有过选择
- 远程证明还被设想用于确认设备「不能收发加密消息、不能跑竞品 App、不上传身份就不能用社交网络」
- 反驳方的论据很硬：证明是为单一设备在创建时点设计的，与同步凭据天然冲突，Apple 目前也不支持
- 作者的态度：相信对方无意作恶，但没被说服这套机制长期守得住，一旦技术存在就难收回
💡 金句
with passkeys come a hidden dial that lets the websites you use them on gradually remove your ability to do as you please with them.
👍 0
👎 0
← 返回 Lobsters 首页