# 零信任日常：從密碼管理器到 Passkey 的無密碼革命

在過去三十年裡，「帳號 + 密碼」一直是網際網路最主要的身分驗證方式。然而，隨著釣魚攻擊（Phishing）、撞庫攻擊（Credential Stuffing）與資料庫洩漏事件層出不窮，傳統密碼已成為現代資安防線中最脆弱的一環。

今天，讓我們來聊聊一場正在發生的數位驗證革命：**從密碼管理器到 Passkey (通行密鑰)**。

---

## 1. 傳統密碼的根本缺陷

人腦天生不擅長記憶「32 位隨機亂數密碼」。因此，大部分人常犯以下錯誤：
- 在多個網站使用同一組密碼。
- 密碼中包含姓名、生日等容易被社交工程猜出的資訊。
- 誤點釣魚網站將密碼拱手送人。

即使你開啟了簡訊 SMS 驗證碼，仍可能遭受 **SIM 交換攻擊 (SIM Swapping)** 或假基地台攔截。

---

## 2. 第一階段演進：密碼管理器與 TOTP (RFC 6238)

使用 1Password、Bitwarden 等密碼管理器，配合 **TOTP (Time-based One-Time Password)** 是目前最成熟的防線。

### TOTP 運作原理：
```text
TOTP = Truncate( HMAC-SHA1( SecretKey, Floor(CurrentUnixTime / 30) ) )
```
每 30 秒由密鑰與時間戳記算出 6 位數，伺服器不需要儲存你的密碼動態，即可獨立驗證。

---

## 3. 終極解答：Passkey 與 FIDO2 / WebAuthn

**Passkey** 是基於非對稱加密（Asymmetric Cryptography）的無密碼技術標準：

- **公鑰 (Public Key)**：儲存在網站伺服器上，就算伺服器被黑客攻破，公鑰也無法反推私鑰。
- **私鑰 (Private Key)**：安全保存在您的手機硬體安全晶片（Secure Enclave / TPM）中，永不離開裝置。

### 為什麼 Passkey 能徹底免疫釣魚攻擊？
當你在假冒的釣魚網站上點擊登入時，瀏覽器會比對網域名稱（Domain Binding）。如果網域名稱不符，裝置**根本不會送出任何簽名**，釣魚網站完全無法騙取你的身分憑證！

---

## 4. 行動建議：今天就開始升級您的數位防護

1. **啟用主要服務的 Passkey**：Google、Apple、GitHub、Microsoft 目前均已全面支援。
2. **重要帳號綁定 Authenticator App**：如 Google Authenticator，告別 SMS 簡訊驗證。
3. **備份好 2FA 恢復金鑰 (Recovery Codes)**：存放在安全的實體筆記本或離線保險箱中。

擁抱現代密碼學，讓資安成為生活中的優雅習慣！