CPO 杂志：密钥身份验证及其相关身份验证标准

通行密钥认证用 一对加密密钥（公钥和私钥）取代了传统密码。私钥保留在用户的设备上，而公钥则位于服务器上。在登录过程中，服务器发出只有私钥才能解决的质询，并使用公钥验证响应。不传输或存储任何密码，这大大减少了攻击面。密码泄露和暴力尝试变得不成问题，因为没有静态机密可供窃取或猜测。

FIDO2 是 FIDO 联盟和万维网联盟 （W3C） 的联合倡议，旨在在不依赖密码的情况下提供简化、强大的身份验证。它定义了一组技术组件：WebAuthn 和 CTAP2（客户端到身份验证器协议）。WebAuthn 标准化了 Web 应用程序与身份验证器的交互方式，身份验证器通常是平台功能，例如手机上的安全飞地或硬件安全密钥。CTAP2 控制该身份验证器与客户端设备（如笔记本电脑或智能手机）的通信方式。