作为替代传统密码的新一代登录技术，Passkey正持续升温。不过，围绕这项技术的讨论也在扩大：有观点认为，Passkey未来可能压缩用户在设备和软件上的选择空间，而原本用于提升安全性的认证机制，也可能被企业用作管理用户访问范围的工具。
据日本媒体GIGAZINE当地时间13日报道，技术博客Non-Functional作者The Hack在文章中表示，Passkey在安全性和便利性方面确有优势，但也存在用户被特定平台或企业生态“锁定”的潜在风险。
Passkey以指纹、人脸识别或PIN码替代传统密码。网站仅保存公钥，私钥则保存在用户设备本地，登录过程中不会被传输，因此在防范密码泄露和钓鱼攻击方面被认为更有优势。
争议的焦点集中在“设备证明”（Attestation）机制。该机制用于验证生成Passkey的认证设备来自哪家厂商、属于何种类型。在线服务可据此设定规则，仅接受特定厂商或特定设备生成的Passkey。
The Hack认为，如果这类限制不断扩散，使用不在企业允许范围内的操作系统或软件的用户，今后可能被排除在部分服务之外。
不过，至少在当前，面向普通用户的Passkey并未普遍采用这一做法。Apple和Google提供的同步Passkey目前均不支持用于证明认证设备来源的“设备证明”机制。
相比之下，Microsoft旗下企业服务Entra ID则提供了允许管理员限制认证设备类型的功能。
对于上述担忧，也存在不同声音。海外技术社区Hacker News指出，设备证明属于Passkey注册环节的信息，服务方无法在Passkey完成注册后，再额外补加同等级别的证明要求。
另有观点认为，即便不使用Passkey，企业同样可以通过其他身份认证策略，对用户可使用的设备和软件环境作出限制。
因此，这场争论的重点并不在于Passkey本身存在安全缺陷，而在于当认证规则更多掌握在企业手中时，用户的设备和软件选择空间是否会被进一步压缩。
Choi Jae-won
ittt_0801@d-today.co.kr