看了 V2 这么多密码讨论贴，心中只有一个想法：究竟什么时候能把密码给淘汰了？

[flyhaozi]

大家有没有什么更好的见解，通行密钥 Passkey 或者 Yubikey 是不是相对来说更安全，实现起来麻烦吗？

另外是不是国内 App 常用的这种手机号+验证码，并且不设密码的方式反而在安全性上更好？

参考：

• Chrome 使用 Passkey 能改变它不安全地明文储存密码的现状吗
• 如果只用 WebAuthn(Passkey)做网站唯一登录凭证是否靠谱？会有哪些安全风险和弊端？
• 支持 Passkey 的网站
• V2ex 有支持 passkey 的计划么？
• 实战！为你的网站接入 Passkey 通行密钥以实现无密码安全登录
• Bitwarden 支持保存 passkey 了 [ p.s. 我在用的 Keeper Security 也是支持的]
• Yubikey 小白级使用感受
• 大家觉得支付密码和短信验证码，哪个更安全？
• 厂商为什么不担心验证码碰撞？

[cmdOptionKana]

我只相信密码，非常讨厌各种取代密码的方式。

密钥 Passkey 或者 Yubikey 本质上也是密码而已。

手机号+验证码非常恶心，增加了一大堆被攻破的点，同时还搞得手机号码被绑架，换号成本奇高无比。

[cmdOptionKana]

@orioleq 安全要求不高的网站，输入密码本身就是个极低频的操作，一般都是长期免输入密码的，对于一个极低频操作，我认为各种方式差别都不大。

[leonshaw]

在 MFA 里是不同的因素，passkey, OTP 和短信都属于 "something you have", 密码属于 "something you know", 生物信息属于 "who you are".

[crackidz]

Passkey 是一个对用户理解成本非常高的方式，除非你的用户群体技术 Nerd 为主，否则上这玩意的教育成本和客诉成本会非常高。当然，给这么一个选项倒是无所谓，但是这肯定是 todo list 里非常靠后的 feature 了。

[billgong]

@fkdtz x509 client certificate 就是搞这个的，软件版一些银行签发客户端证书的网银，硬件版比如 DoD CAC 或欧盟身份证，都是这样的。最大的问题是你怎么强推这种中心化的认证体系。

[flyqie]

密码是唯一一个最低成本、最好兼容性、最低依赖的方案。

至于安全性，实际上是把这个选择权交给了人。

[flyqie]

@flyqie #26

而且密码也是人类社会长期存在并使用的一种基础认证方式，所以淘汰我觉得是不可能的。

[lin7946]

生物特征的不可变性，这东西就很不安全，不然被人破译了，你甚至都没办法改（试过大半夜在跟盗号的不停在改密码对抗

[TimPeake]

电子产品都上生物密码识别就好了

[busterian]

我觉得最方便的还是自动填充+指纹登录，密码库云同步就行了(我是因为这个才知道 onedrive 手机端不支持共享本地文件夹的)

[ltkun]

@gransh 你这是爱因斯坦的脑子吗？几百个网站哈

[LokiSharp]

有没有可能，你说的解决方案都只是隐藏的密码？

[K2]

看了 Google one 暗网监控泄漏的密码记录，还是需求一种可以无视泄漏的方式。

[gransh]

@ltkun 自编一套算法啊，用的时候算一下

[gransh]

@ltkun 不过辣鸡小网站还是一码通