微軟近日宣布Windows用戶可以使用驗證碼密鑰(Passkey)登入個人的微軟帳戶,這代表著用戶不再需要依賴傳統的密碼,而是可以使用像是Windows Hello、FIDO2安全鑰、生物辨識(臉部或指紋)或是裝置PIN等無密碼的驗證方式。這項新功能適用於個人用於存取Windows、Office 365、Outlook、OneDrive、Copilot及Xbox Live等微軟服務的帳戶。
推出驗證碼密鑰的主要目的是為了提高安全性,防範釣魚攻擊,並朝向未來徹底取代密碼的目標邁進。與傳統密碼不同,驗證碼密鑰是建基於加密金鑰對,公開金鑰存放在服務提供者的伺服器上,而私密金鑰則安全地儲存在使用者的裝置中。在驗證時,系統會產生一個需要使用私密金鑰才能解開的挑戰,從而確認使用者身份。由於私密金鑰受到裝置層級的生物辨識或PIN保護,使用者只需提供這些資料即可登入,省去記住及輸入複雜密碼的困擾。
相較密碼,驗證碼密鑰更加安全,不會有密碼被截取或竊取的風險,且與特定裝置綁定,有效防止釣魚攻擊。此外,由於不涉及共享秘密,使用者也不會因為不安全的習慣(如重複使用相同密碼或使用簡單弱密碼)而帶來風險。最後,驗證碼密鑰兼容不同的裝置和作業系統,使驗證過程順暢無阻。
值得注意的是,微軟為了方便使用者在更換或遺失裝置時仍能存取帳戶,將會在用戶的多個裝置之間同步驗證碼密鑰,而非在每個裝置上儲存獨立的密鑰。這種做法或許在安全性上稍嫌不足,一旦攻擊者獲取了帳戶控制權,密鑰也將同步至他們的裝置上。
要啟用微軟帳戶的驗證碼密鑰功能,首先需要透過指定網址建立新的密鑰,選擇使用臉部、指紋、PIN或安全鑰等驗證方式。接著依照裝置上的指示完成密鑰設定。目前支援此功能的平台包括Windows 10及更新版本、最新的macOS Ventura、Safari 16或更新版本、Chrome作業系統、Chrome、Edge 109或更新版本、iOS 16及更新版本,以及Android 9及更新版本。
登入時,選擇"其他登入方式"、"臉部、指紋、PIN或安全鑰"後,即可從已儲存的驗證碼密鑰列表中選擇想要使用的密鑰進行驗證。裝置將開啟安全視窗,透過您選擇的生物辨識或PIN等方式完成身份認證。
總的來說,微軟推出驗證碼密鑰無疑是朝向更安全與便利的無密碼世界邁進的重要一步。隨著科技發展,期盼有更多服務開放這項友善又安全的新身份驗證方式,讓使用者遠離被密碼所帶來的風險及困擾。
詳情請看：
Microsoft rolls out passkey auth for personal Microsoft accounts