passkey 到底什么作用？

[peakj]

现在大厂的系统都支持了 passkey 登录了，但是腾讯云的登录体系，给我整蒙了，passkey 登录之后还要输入两步验证码，这合理吗？比我直接记住密码登录流程还繁琐

我的认知是 passkey 都通过了生物认证，就证明是我本人操作了，为什么还要多余验证异步两步验证码。

试了一下阿里云是不需要两步认证的，整个过程很丝滑。

[okekrrGo]

不用国产的。

[jpyl0423]

甲骨文输入密码之后才验证 passkey ，各家都有花活

[YAOMFFL]

借楼问一下大佬们的 passkey 一般存在哪呢？

[woaiwinnie2]

twitter 的 passkey 有登录 passkey 和 2FA passkey ，前者可以跳过 2FA ，后者不能用来登陆账号只能用来 2FA ，很神奇吧
不过 passkey 确实也不是 2FA ，至少理论上不是

[msg7086]

合不合理先不说，为什么 Passkey 可以证明你本人操作？这最多只能证明你本人在场。
比如你喝醉酒了躺沙发上，别人过来拿你手指一摸就进网站系统了，你醒来一看天塌了，如何。

系统具体安全性要看各个安全措施组合在一起的效果。比如我司是无密码登录，直接验证 Passkey 。但是登录公司网络本身需要密码。把我干倒了摸了 Passkey 但是没密码依然连不上公司内网。

[GeruzoniAnsasu]

passkey≈把你的用户名+密码 hash 一下，这么说你理解了没？

生物认证仅仅用于解锁 keychain 把加密的 hash 发出来，登录网站是不知道你的 passkey 是怎么发过来的。

[vibbow]

阿里云也是 passkey 后也要输 tfa 验证码

[cnrting]

passkey 只能证明设备是对的别的不保证

[marcosteam]

那我感觉存在 bitwarden 里就够了啊，所谓的跨设备登录感觉并没有什么卵用

[est]

我觉得 passkey≈用户名 这个说法就是抬杠

照这么说 人脸==用户名 。结果现在各家都当成重置密码在用


我猜纯粹就是提需求的人不懂 passkey 网上随便找了篇教程，然后沙雕教程就指出 passkey 得配合密码，于是就搞出来这么一个脱裤子放屁的方案。

[94]

passkey 只是一个快捷登录的方式而已，自动读取之前生成的 key 去做登录。只能证明这个 key 或者这台设备是你认证过的。
而两步验证则是为了确保你的 passkey 、密码丢失之后还有一层验证措施。

[jetsung]

之前就有人说过同样的问题。

阿里使用 passkey 后，一样需要 2FA 验证的。CloudFlare 也一样，不过，方式不一样而已。有些把 passkey 当账密，有些把 passkey 当 2FA 。

阿里把它当账密，CloudFlare 把它当 2FA 。

[vacuitym]

是的，腾讯云每隔 7 天都要一次手机号验证码，就算我用他们家的微信扫码都不行，我也是很服气

[Overfill3641]

Passkey 其实是强于 TOTP 的，TOTP 网站脱库或者钓鱼就可以弄到，和密码一样得重置。
Passkey 如果服务器存储合规只放公钥，那拿了没用，钓鱼时设备会验证域名，也没用。
不过现在的 Passkey 在一些网站上用的别扭，没有点击按钮，得先输入账户名再让你用 Passkey 。

[lisxour]

passkey 只是为了你不用记密码，而不是一路绿灯。

[DigitalG]

腾讯云的控制台可以配置关闭 2FA 的。只 passkey 登录就可以。几种方案可选的

[imnpc]

passkey 主要是不用记忆密码 而且跨平台 设备

[jackOff]

国内的 2fa 设计因为强制需要一个身份核实机制，所以国外那套设计对于我国是没有意义的，基本上最后还是要强制短信验证码或者网证做最后兜底机制

[FringJX]

passkey 就是账号密码 2.0 版本，和 2FA 没关系，和三方登录也没关系。

[DigitalG]

@DigitalG https://console.cloud.tencent.com/developer/security 把通行密钥后面的 “登录保护” 关闭，就是用 passkey 后，就不使用 MFA 二次验证的意思