您的無密碼認證方案真的實現無密碼了嗎？

一如預期，各機構正積極調整認證方案，轉向無密碼模式。微軟近期登上新聞頭條，此前公布相關計劃，將為用戶登入 Microsoft 365、Microsoft Teams、Outlook、OneDrive、Microsoft Edge 等服務提供無密碼認證方案支援。

「實現無密碼」已成為安全領域記者、行業分析師與行業意見領袖中的熱門表述，但該表述的實際定義會隨使用者的不同而存在極大差異。多因素認證、一次性密碼、單一登入、生物識別等技術，都是當前「無密碼」相關討論涉及的方向。這些技術可能提升安全性、或優化用戶體驗，但本身並不屬於「無密碼」解決方案。

以指紋掃描、面部識別這類生物識別認證為例，此類技術可驗證當前裝置是否由合法用戶掌控，因此它們是PIN碼（用於裝置存取控制）的替代方案，而非密碼（用於跨網絡存取其他裝置）的替代方案。部分認證系統可能只是用生物識別或類似的基於裝置的認證機制，掩蓋底層實際使用的密碼。即便終端用戶無需設定、管理或輸入已知密碼，這種模式也並非真正的無密碼——密碼依然會在網絡中傳輸，並在另一端的裝置上執行存取控制。

這是一項關鍵差異。密碼掩蓋類方案具備真正無密碼技術的部分優勢：由於員工無需記憶、管理或輸入密碼，用戶體驗更好；同時因為使用門檻低，也能減少服務台工單量。但這類方案中依然存在共享密鑰——也就是密碼——需要在可能存在風險的網絡中傳輸，用於解鎖伺服器系統的存取權限與操作權限，導致該共享密鑰存在被竊取的風險。

另一類偽無密碼方案，是在兩端部署的圍牆花園系統中透過特定方式交換公鑰。這類方案雖可透過密碼學機制防範密鑰竊取，但開發、維護、部署難度高，易出現錯誤與漏洞。很多時候，這類方案中建立加密密鑰的流程仍需要以使用者名稱-密碼組合作為起始步驟。此外，這類原生加密密鑰的缺點是不具備有效期、吊銷等生命週期管理策略，意味著這些密鑰可能永久留存，甚至超過預期有效使用期限，或是在計算技術發展導致其密碼學安全性失效後依然存在。

公鑰基礎設施（PKI）在真正無密碼認證方案中的作用

真正的無密碼認證，在認證流程的任何環節都不會使用對稱共享密鑰或密碼。作為認證與加密領域的黃金標準，公鑰基礎設施（PKI）是支撐無密碼身份認證的基礎技術，也是唯一可實現大規模真正無密碼認證的技術。

以PKI自動化為核心的數碼身份策略，可從根本上提供更易用、更安全的認證模型。數碼證書依托認證裝置中嵌入的密鑰完成後台全部認證流程，同時透過PIN或生物識別校驗確認裝置由合法用戶持有。用戶可獲得更順暢、易理解的使用體驗，各類常見的密碼竊取攻擊也將不再構成威脅，既對用戶友好，也能減輕IT團隊負擔。

儘管PKI可適用於多種場景，但它尤其適配集中式企業環境中的無密碼認證方案。借助PKI，企業可享受無密碼認證的優勢，同時保持對自身基礎設施的控制權。PKI還提供應急備用方案：如果需要吊銷某張證書，管理員可隨時執行操作；此外，所有證書都設有固定生命週期，在指定期限屆滿後將自動失效。

當您計劃替換密碼、部署無密碼認證方案時，請向供應商確認方案實際邏輯。您可能以為自身環境已經擺脫了密碼，但底層可能仍存在密碼機制。如需了解更多資訊，可收聽《Root Causes》播客第204期《PKI在無密碼方案中的作用."