摘要
30 秒看懂
Eli Holderness 解释公钥凭据和身份验证器如何支持 WebAuthn，并介绍 WebAuthn、CTAP 与 FIDO2 的关系。
- 1密码的挑战密码带来可用性和存储挑战。
- 2密钥对私钥签署挑战，公钥可以验证签名。
- 3硬件身份验证器硬件密钥可以提供持有因素。
- 4Web 标准WebAuthn 和 CTAP 是 FIDO2 的一部分。
- 5PasskeyPasskey 可以绑定设备或同步。
要点建议
- 密码带来可用性和存储挑战。
- 私钥签署挑战，公钥可以验证签名。
- 硬件密钥可以提供持有因素。
- WebAuthn 和 CTAP 是 FIDO2 的一部分。
- Passkey 可以绑定设备或同步。
全文
按章节阅读整理后的全文
01
超越密码
密钥、身份验证器与 Web 标准。
在这段 2023 年 GOTO 演讲摘录中，我介绍 WebAuthn 和无密码身份验证。完整演讲还涵盖本概览之外的细节和权衡。
密码可能难以管理，服务端也难以安全存储。凭据数据库泄露说明身份验证设计为什么重要。
公钥密码学使用私钥及其对应的公钥。身份验证器可以用私钥签署挑战，服务则使用公钥验证签名。
硬件安全密钥可以保存私钥，并提供持有因素。根据身份验证器和配置，也可以使用 PIN 或生物识别等其他因素。
WebAuthn 定义创建和使用公钥凭据的 Web 接口；CTAP 描述与兼容身份验证器的通信。两者共同构成 FIDO2 生态的一部分。
硬件密钥被设计为将私钥保留在设备上。Passkey 也可以绑定设备，或根据实现方式在设备之间同步；安全性与恢复体验会有所不同。
完整演讲继续讨论实际可用性、缺点和未来可能的身份验证体验。
同频道的其他文章
39:12EN → 简体中文
GOTO Conferences· 2026年10月28日Cate Huston：严谨如何支撑 AI 辅助开发的交付速度Cate Huston · Twill两人团队分享发布关口、自动检查、优先级和加快交付的成本。
22:33EN → 简体中文GOTO Conferences· 2026年10月26日William Schor：Netflix 如何从单元测试走向合成金丝雀William Schor · Netflix用生成的工作负载和接近生产的基础设施，测试分布式键值服务。
34:11EN → 简体中文GOTO Conferences· 2026年10月23日Anatoliy Bilenko 和 Alberto Carretero：用形式化方法和 AI 让数据库协议可靠Anatoliy Bilenko, Alberto Carretero · CanonicalCanonical 的数据库工程师把可执行规格、基于模型的测试、故障探索和重建的执行历史串起来，并说明为什么这些方法单独用，都无法证明真实系统正确。
28:15EN → 简体中文GOTO Conferences· 2026年10月22日Steve Poole：开源安全与 AI 带来的维护挑战Olimpiu Pop, Steve Poole为什么漏洞发现加速会给维护者、依赖使用者和升级流程增加压力。
46:36EN → 简体中文GOTO Conferences· 2026年10月21日Don Syme：围绕人类协作构建 Agent 自动化Don Syme · GitHubContinuous AI、仓库工作流，以及无人值守软件维护所需的防护措施。
28:23EN → 简体中文GOTO Conferences· 2026年10月19日学习 Ash：声明式 Elixir 应用、测试与可扩展性Christian Alexander, Rebecca Le, Zach DanielRebecca Le 和 Zach Daniel 解释他们的书与框架如何共同演进。