零信任日常：從密碼管理器到 Passkey 的無密碼革命

在過去三十年裡，「帳號 + 密碼」一直是網際網路最主要的身分驗證方式。然而，隨著釣魚攻擊（Phishing）、撞庫攻擊（Credential Stuffing）與資料庫洩漏事件層出不窮，傳統密碼已成為現代資安防線中最脆弱的一環。

今天，讓我們來聊聊一場正在發生的數位驗證革命：從密碼管理器到 Passkey (通行密鑰)。

1. 傳統密碼的根本缺陷

人腦天生不擅長記憶「32 位隨機亂數密碼」。因此，大部分人常犯以下錯誤：

  • 在多個網站使用同一組密碼。
  • 密碼中包含姓名、生日等容易被社交工程猜出的資訊。
  • 誤點釣魚網站將密碼拱手送人。

即使你開啟了簡訊 SMS 驗證碼，仍可能遭受 SIM 交換攻擊 (SIM Swapping) 或假基地台攔截。

2. 第一階段演進：密碼管理器與 TOTP (RFC 6238)

使用 1Password、Bitwarden 等密碼管理器，配合 TOTP (Time-based One-Time Password) 是目前最成熟的防線。

TOTP 運作原理：

TOTP = Truncate( HMAC-SHA1( SecretKey, Floor(CurrentUnixTime / 30) ) )

每 30 秒由密鑰與時間戳記算出 6 位數，伺服器不需要儲存你的密碼動態，即可獨立驗證。

3. 終極解答：Passkey 與 FIDO2 / WebAuthn

Passkey 是基於非對稱加密（Asymmetric Cryptography）的無密碼技術標準：

  • 公鑰 (Public Key)：儲存在網站伺服器上，就算伺服器被黑客攻破，公鑰也無法反推私鑰。
  • 私鑰 (Private Key)：安全保存在您的手機硬體安全晶片（Secure Enclave / TPM）中，永不離開裝置。

為什麼 Passkey 能徹底免疫釣魚攻擊？

當你在假冒的釣魚網站上點擊登入時，瀏覽器會比對網域名稱（Domain Binding）。如果網域名稱不符，裝置根本不會送出任何簽名，釣魚網站完全無法騙取你的身分憑證！

4. 行動建議：今天就開始升級您的數位防護

  1. 啟用主要服務的 Passkey：Google、Apple、GitHub、Microsoft 目前均已全面支援。
  2. 重要帳號綁定 Authenticator App：如 Google Authenticator，告別 SMS 簡訊驗證。
  3. 備份好 2FA 恢復金鑰 (Recovery Codes)：存放在安全的實體筆記本或離線保險箱中。

擁抱現代密碼學，讓資安成為生活中的優雅習慣！