密钥与密码：有什么区别，哪个更好？ – 使用Engadget

Linaimages/Shutterstock

您可能被要求为您的某些帐户添加密钥。密码大家都很熟悉，但问题也不少；密码密钥提供了可靠的改进，但并非所有站点都支持。

尽管在很多方面都是旧标准的升级，但拨动开关也有其自身的怪癖，需要理解。由于它们与设备或软件相关，而不是您记住的东西，因此您应该小心，不要被锁定在保存它们的位置之外。此外，共享密码并不像向朋友提供密码那样容易。但对于大多数人来说，使用密钥而不是密码是值得的，特别是如果您不使用密码管理器来保护您的登录。

一旦您了解了它们的工作原理，将您的在线登录信息转移到密码密钥将使您免于每天繁琐的步骤。最重要的考虑因素是如何存储它们；幸运的是，大多数主要操作系统和密码管理器都支持此选项。

Ratana21/Shutterstock

首先，我们来讨论一下每个方法的工作原理。经典密码是用于验证您的帐户的“秘密代码”。网站不会（或不应）以纯文本形式存储这些内容；这是非常不安全的，因为数据泄露会暴露所有登录信息。相反，单向函数会应用于您的密码，创建一个称为哈希的加密版本。输入正确的密码后，系统会根据数据库中的密码检查散列版本，然后您就可以成功登录。还有其他安全措施，例如“加盐”（向散列中添加随机数据字符串）以创建相同密码的唯一散列，但这些是基础知识。

万能钥匙不需要您记住任何文本。它们依赖于两个密钥：网站存储的公钥和您设备上保存的私钥。当您尝试登录帐户时，网站会要求您使用手机或电脑上保存的密码进行确认。这些密钥存储在手机存储空间的安全部分，并使用设备现有的身份验证方法（例如 Face ID、Windows Hello PIN 或指纹扫描仪）。如果生物识别失败，您只需记住设备的 PIN 码即可。

如果公钥和私钥对您来说似乎很抽象，请将它们想象成一个上锁的邮箱。任何人都可以在公共区域投递邮件（一封要求您证明自己身份的信件），但只有拥有钥匙的所有者才能解锁邮件（“签署信件”以验证您自己的身份）。看到邮箱并不会让你知道钥匙是什么。说到万能钥匙，还有两个额外的层：设备上的密钥安全地存储在生物识别技术后面，并且被设计为永远不会与假邮箱（网络钓鱼网站）一起使用。

这是在手机或计算机上设置强大的锁屏安全性的另一个原因。虽然生物识别技术是便利性和安全性的最佳结合，但您不希望“1234”PIN 成为您所有登录的网关。

伊卡-照片/Shutterstock

您可能多年来一直在应对密码缺陷。由于为每项服务创建和记住唯一的强密码是一种负担，因此许多人在各个站点上使用相同的弱密码。恶意行为者可能会诱骗您放弃密码或进入虚假网站。尽管数据（希望）在存储中被打乱，攻击者仍然有办法解密或使用他们从数据泄露中恢复的数据。

密码管理器可以帮助解决许多此类问题，但它们并不完美。您可能会在管理员中存储弱凭据，在流氓网站上粘贴强密码，或者忘记您的主要登录信息。拨动开关解决了最基本的问题。您无法创建“弱”切换开关，因为该标准本质上是强大的。更重要的是，这些也不能用在错误的网站上。创建密钥本质上会将其绑定到特定域；因此，即使您打开虚假页面，您也无法像密码一样“交出”您的凭据。这也意味着不可能重复使用它们。

万能钥匙还同时通过“你拥有的东西”和“你知道的东西”或“你是什么”的安全检查。由于它们需要 PIN 或面部/指纹以及可信设备，因此不需要像传统双因素身份验证那样的第二步。当数据泄露发生时，公钥无法被窃取，因为公钥已经是公开的。

西莉亚·翁/Shutterstock

如果您尚未尝试过密码密钥，请打开任何在线帐户的设置页面并查找密码密钥。 安全 或者 登录 部分。支持密钥的服务将在使用适当的按钮后引导您创建密码。

制作时，您必须选择存储它的位置。默认情况下，macOS 和 iOS 将它们存储在 Apple 的密码应用程序中。 Android 使用 Google 密码管理器，而 Windows 11 在您的设备上使用它们。 设置 > 帐户 > 密码。 Linux 还没有原生支持。但是，特别是如果您跨生态系统使用设备，我建议您将密钥存储在一个好的密码管理器中。

例如，当您需要登录 Android 手机时，将所有密码保存在 Apple 密码中是一个很大的麻烦。有些服务允许您扫描包含密码的设备上的二维码以在另一台设备上登录，但这效率不高。只有通过密码管理器中的共享保管库才能与受信任的个人共享密码，并且在多个设备之间同步软件可以防止在一台设备停止工作时造成损失。由于许多服务尚不提供密钥，因此专用密码管理器仍然是确保在线安全的综合工具。如果您想更进一步，您还可以将密钥存储在物理安全密钥中，例如 YubiKey。

创建密码后，您可以使用它来登录。当您尝试登录时，您会看到一条提示，要求您通过设备进行身份验证来使用此功能；这个过程只需要几分钟。根据服务的不同，密码可能会替代或补充您的密码。在后一种情况下，请务必设置一个强密码，因为您的帐户的强度取决于最弱的登录方法。