英國國家網絡安全中心表示，Passkeys相較傳統密碼在大多數場景下“至少不弱於、通常更強”
英國國家網絡安全中心（NCSC）在最新技術報告中明確表示，Passkeys相較傳統密碼（即便疊加兩步驗證）在大多數場景下“至少不弱於、通常更強”，並首次將其定位爲“各類數字服務的首選登錄方式”。NCSC在CYBERUK會議上宣佈，將在後續全部官方指引中優先推薦Passkeys，僅在服務不支持時才退而求其次使用密碼+雙重驗證。
報告指出，Passkeys基於本地設備保存的FIDO2加密密鑰，配合指紋、人臉或PIN完成驗證，不會像密碼一樣在網絡中傳輸或存儲，因此天然免疫釣魚、撞庫與暴力猜解，且每個站點使用獨立密鑰，單點泄露不會波及其他賬戶。 NCSC引用產業數據稱，過去一年兼容性與易用性已有明顯改善，目前英國超過一半活躍Google用戶已註冊至少一個Passkey，eBay、PayPal及多家大型平臺均已支持Passkeys登錄，這一進展使該機構不再建議在“有更安全替代方案時繼續依賴密碼”。
來源：公開信息
ABAB AI 解讀
NCSC的這次表態，標誌着“密碼 vs Passkeys”的爭論已經從技術圈內部共識，正式上升爲國家級安全基線：默認假設“密碼是遺留方案，Passkeys是新常態”。在多年對多因素認證（特別是短信/郵箱驗證碼）的推廣之後，NCSC直接指出傳統MFA“本質可釣魚”，而FIDO2/Passkeys在現實世界攻擊樣本中已展現出對大規模憑證盜用的顯著抑制作用，相當於承認“繼續加固密碼”已是邊際收益有限的防守路線。
從安全結構上看，Passkeys改變了完整的攻擊經濟學。密碼體系靠“用戶記憶+服務器保存哈希”維持安全，一旦任一環節被攻破，攻擊者即可批量重放或撞庫；Passkeys則把祕密鎖在本地認證器（手機、安全芯片、瀏覽器）裏，服務器只保存公鑰，意味着即便服務器被攻陷，也拿不到可重用的登錄憑證，釣魚網站也無法騙到“可抄走”的密碼或驗證碼。 對攻擊者而言，成本從“批量自動化郵件釣魚+撞庫”被迫上升到“逐個設備攻陷或供應鏈投毒”，攻擊規模與收益模型被徹底重寫。
同時，這是一場“可用性驅動的安全遷移”。NCSC與產業數據都顯示，Passkeys登錄時間遠短於密碼+二次驗證碼，用戶只需“看一下攝像頭或按指紋”，不需要記複雜字符、也不需要在多設備之間反覆抄驗證碼和重設密碼，這極大降低了企業推進更安全方案時的用戶阻力。 過去安全升級經常犧牲體驗（更長密碼、更多驗證碼），Passkeys第一次在“更安全”和“更省事”上同時佔優，這也是政府與大型平臺能在短時間內推動採納率上升的關鍵。
從更大技術和治理角度看，這一轉向也意味着“身份基礎設施”的權力進一步向設備與平臺集中：當生物識別和安全密鑰成爲核心認證方式，操作系統廠商、瀏覽器和少數大平臺就掌握了更多“是誰”的控制權與標準制定權。 英國政府選擇在這一節點給出明確政策信號，一方面是在順勢接入由FIDO聯盟和大型科技公司推動的全球無密碼標準，另一方面也在通過公共部門（如Gov.UK、NHS）的大規模部署，試圖避免未來身份體系完全被少數私營平臺鎖定。長期看，這將重新定義企業安全路線圖：問題不再是“密碼如何管好”，而是“如何在多個平臺和設備之間，以合規、隱私友好的方式託管和編排Passkeys”。