什麼是無密碼驗證？基礎原理解說

什麼是無密碼驗證？

透過實作無密碼驗證，您可消除造成相當大比例資料外洩的攻擊手法。根據 Verizon 2024 DBIR，遭竊憑證是最主要的初始攻擊向量。無密碼驗證以基於 FIDO2/WebAuthn 標準的密碼編譯金鑰、生物特徵辨識或硬體權杖，取代傳統以密碼為基礎的登入方式。

這項基礎架構轉變的核心，是從共享秘密轉向非對稱式密碼編譯。根據 IBM 的文件，伺服器僅儲存公開金鑰，而若沒有僅由您的裝置持有的對應私密金鑰，這些公開金鑰便無法用於驗證。

有三種主要方法可滿足企業需求：生物特徵驗證、硬體安全金鑰，以及 passkeys。它們都有一項共同特性：驗證期間不會傳輸可重複使用的憑證。這項根本性的改變可解決使密碼成為最常遭利用之攻擊向量的弱點。

無密碼驗證與網路安全的關聯

以密碼為基礎的驗證無法抵禦現代攻擊技術，因此無密碼方法對組織安全至關重要。根據 Verizon 2025 年分析，54% 的受害者其憑證先前已在 infostealer 記錄中外洩。 CISA 指引 明確指示聯邦機構應遷移至以雲端為基礎的無密碼驗證，作為實作零信任架構的一部分。

2023 年 MGM Resorts 資料外洩事件顯示了密碼的脆弱性，當時攻擊者利用社交工程繞過驗證控制，造成估計 1 億美元損失，並迫使該公司關閉吃角子老虎機與飯店系統數日。同樣地，2021 年 Colonial Pipeline 勒索軟體攻擊始於單一遭入侵的 VPN 密碼，導致 440 萬美元贖金支付，並造成美國東部各地燃料短缺。根據 CISA 建議，網路釣魚促成了相當大比例的網路間諜活動事件與資料外洩。 憑證填充會在數百項服務中測試遭竊密碼，鍵盤側錄程式會記錄密碼字元，而資料庫外洩則會暴露集中式密碼儲存庫。

無密碼驗證透過密碼編譯繫結來因應每一種攻擊類型。根據 CISA 的抗網路釣魚 MFA 指引，FIDO/WebAuthn 是抗網路釣魚 多重要素驗證的黃金標準，因為驗證會以密碼編譯方式繫結至特定網域，從而防止憑證擷取攻擊。

若要理解這些安全優勢，必須檢視無密碼方法與傳統方法的比較。

無密碼驗證 vs. 傳統驗證

傳統密碼驗證依賴儲存在資料庫中的共享秘密。當您建立帳戶時，伺服器會儲存您密碼的雜湊版本。登入期間，您會傳送密碼，伺服器會將其雜湊，並與儲存的值進行比對。這種架構會產生多個失敗點：密碼資料庫成為攻擊目標、傳輸中的憑證可能遭攔截，以及使用者會在不同服務間重複使用密碼。

密碼加上傳統 MFA 可提升安全性，但也會增加摩擦並保留弱點。SMS 驗證碼可能透過 SIM swapping 攻擊遭到攔截。以時間為基礎的一次性密碼需要手動輸入，且仍容易受到即時網路釣魚代理的影響，這些代理會在驗證碼過期前擷取並重放驗證碼。當攻擊者觸發重複提示時，推播通知會造成 MFA 疲勞。

無密碼驗證會完全消除共享秘密模型。您的私密金鑰永遠不會離開裝置，因此不存在可遭入侵的憑證資料庫。驗證會以密碼編譯方式繫結至特定網域，因此 網路釣魚 網站無法擷取可重複使用的憑證。使用者體驗也會改善，因為生物特徵驗證取代了密碼輸入與驗證碼抄錄。

營運層面的差異同樣顯著。密碼重設會耗用服務台資源，並創造社交工程機會。無密碼驗證可完全消除重設程序，因為密碼編譯金鑰無需記憶。因忘記密碼而導致的帳戶鎖定將不復存在，而且使用者透過生物特徵驗證的驗證速度比輸入密碼更快。

在確認這些優勢後，選擇正確的無密碼方法取決於您組織的安全需求與使用者工作流程。

無密碼驗證方法的類型

組織可透過數種不同的方法實作無密碼驗證，每種方法都有特定的使用案例與安全特性。

• 生物特徵驗證透過身體特徵驗證身分。指紋掃描器、臉部辨識系統與虹膜掃描器會將生物特徵轉換為儲存在裝置本機的數學範本。Windows Hello、Apple Face ID 和 Touch ID，以及 Android 生物特徵系統，是目前部署最廣泛的實作方式。生物特徵辨識提供便利性，但當感測器失效時仍需要備援方法。
• 硬體安全金鑰作為專用的密碼編譯裝置運作。YubiKey 和 Google Titan Key 等產品會在防竄改硬體中產生並儲存私密金鑰。這些可漫遊驗證器可透過 USB、NFC 或 Bluetooth 連線跨多個裝置運作。安全金鑰可提供最強的抗網路釣魚保護，因為它們需要實體持有，並會自動驗證網域繫結。
• Passkeys是最新且快速普及的方法。Apple、Google 與 Microsoft 現已在其平台上支援 passkeys，讓憑證可透過 iCloud Keychain、Google Password Manager 或 Microsoft 帳戶，在使用者裝置間安全同步。Passkeys 結合了硬體繫結安全性與自動同步的便利性。
• Magic links透過電子郵件傳送一次性驗證 URL。當您要求存取時，服務會產生唯一且具時效限制的連結。點擊該連結即可證明您控制相關的電子郵件帳戶。Magic links 很適合低頻率存取情境，但其安全性取決於電子郵件安全。
• 智慧卡與 PIV 憑證在政府與企業環境中被廣泛使用。這些實體卡片包含內嵌的密碼編譯晶片，用於儲存憑證與私密金鑰。聯邦機構依據 HSPD-12 要求強制使用 PIV 憑證。智慧卡需要讀卡機，但可提供高保證驗證。

每種方法都對應到技術架構中詳述的特定 FIDO2 元件與安全需求。

無密碼驗證的核心元件

FIDO2 構成企業無密碼驗證的技術基礎。根據 FIDO Alliance 規格，WebAuthn 定義 Web 應用程式如何與驗證器通訊，而 CTAP2 則處理您的平台與外部安全金鑰之間的通訊。

• WebAuthn 作為由 W3C 標準化的瀏覽器原生 API 運作。 您的瀏覽器提供 navigator.credentials.create() 用於註冊，以及 navigator.credentials.get() 用於驗證。這些 API 讓伺服器可依循 FIDO2 規範，使用公開金鑰密碼學而非密碼來註冊使用者。
• 驗證器分為兩種類別。平台驗證器直接整合至裝置中，例如 Windows Hello、Apple Touch ID 和 Android 生物辨識系統。這些驗證器使用 Trusted Platform Modules 執行密碼學運算。根據 FIDO Alliance，私密金鑰存放於可防止以軟體方式擷取的硬體安全模組中。漫遊驗證器則可透過 USB、NFC 或 Bluetooth，作為可攜式安全金鑰在多個裝置間運作。
• 公開金鑰密碼學提供密碼學基礎。在註冊期間，您的驗證器會為每項服務產生唯一的金鑰配對。根據 IBM 的文件，私密金鑰會永久儲存在您裝置的安全硬體中，而公開金鑰則傳送至驗證伺服器，從而消除集中式密碼資料庫。
• 生物辨識驗證僅會在您的本機裝置上進行。 FIDO Alliance 的架構設計可確保生物辨識範本絕不會離開您的驗證器。您的裝置會在本機將即時生物辨識樣本與儲存的範本進行比對，並僅在驗證成功後才解鎖私密簽章金鑰。

這些元件會在精確的驗證流程中協同運作，從而消除密碼傳輸。

無密碼驗證的運作方式

無密碼驗證依賴兩個不同的流程：建立您密碼學身分的初始註冊，以及證明您控制已註冊憑證的後續驗證。了解這兩種流程可揭示此方法為何能消除密碼弱點。

註冊流程

註冊流程會建立您的密碼學身分。您前往建立帳戶頁面並選擇無密碼驗證。伺服器會產生註冊挑戰。

您的瀏覽器呼叫 navigator.credentials.create() 並帶入挑戰參數。您透過生物辨識或 PIN 提供使用者驗證。您的驗證器會在安全硬體內產生新的公開金鑰與私密金鑰配對。沒有共用祕密可用於驗證身分，因此完全消除了密碼弱點。

私密金鑰永遠不會離開安全元件，而公開金鑰、憑證 ID 和證明陳述則會傳回伺服器。伺服器會驗證證明、驗證挑戰、確認來源，然後儲存您的公開金鑰和憑證 ID。

驗證流程

當您前往登入頁面時，驗證要求便會開始。伺服器會產生密碼學挑戰並擷取您已註冊的公開金鑰。您的瀏覽器呼叫 navigator.credentials.get() 並呈現該挑戰。您透過生物辨識或 PIN 進行驗證，藉此解鎖私密金鑰。

您的驗證器會對挑戰進行簽章，並傳回包含憑證 ID、已簽署挑戰及驗證器資料的 assertion。伺服器會擷取公開金鑰，以數學方式驗證簽章、確認挑戰相符，並確認 relying party ID。驗證成功後，伺服器會授予存取權。

內建安全防護

密碼學繫結提供內建的網路釣魚防護能力。您的憑證會以密碼學方式繫結至合法服務的網域。即使您造訪網路釣魚網站，您的瀏覽器也不會針對不相符的來源呼叫驗證器。您的憑證在實體上根本無法於攻擊者的網域上運作。

裝置遭竊防護 依賴必要的使用者驗證。竊取您的裝置只能取得驗證器硬體的實體存取權，卻無法取得私密金鑰。該金鑰只有在成功完成生物辨識掃描或輸入 PIN 後才會解鎖，因此同時需要您所持有之物，以及您的生物特徵或所知資訊。

這些安全機制可帶來可衡量的營運與安全效益。

無密碼驗證的主要優勢

您可消除造成相當大比例資料外洩的攻擊向量。根據 FIDO Alliance 調查，該調查涵蓋 400 位來自員工數超過 500 人企業的高階主管，其中 90% 表示在導入 passkeys 後安全性有所改善，77% 則減少了服務台來電。組織通常會大幅減少與密碼相關的支援請求，進而轉化為可觀的年度服務台成本節省。

驗證效能有明顯提升。根據 FIDO Alliance 個案研究，與傳統密碼驗證相比，無密碼驗證達到 95% 至 97% 的成功率，且登入速度更快。

憑證填充攻擊無法對無密碼系統奏效。根據 Verizon 2025 分析，許多 ransomware 受害者先前的憑證曾在 infostealer 記錄中外洩。無密碼驗證透過公開金鑰密碼學，為每項服務產生唯一的密碼學憑證，其中私密金鑰永遠不會離開使用者裝置。入侵一項服務不會取得可用於其他地方的憑證，因為不存在可遭入侵的共用密碼祕密。

從法規遵循與架構角度來看，無密碼驗證還具備其他優勢：

• 您的 零信任架構 獲得其基礎驗證控制，因為 CISA 的成熟度模型將具抗網路釣魚能力的方法定位為限制特權存取的必要條件
• NIST SP 800-63B 驗證器保證等級可在最高層級直接對應至無密碼方法，從而簡化法規遵循要求

儘管有這些優點，組織在開始部署前仍應了解相關挑戰。

無密碼驗證的挑戰與限制

舊有系統整合是您的主要技術障礙。根據發表於 ACM Communications的同儕審查研究，舊有系統會將驗證程式碼嵌入核心功能中，且缺乏支援 FIDO2/WebAuthn 通訊協定的 API。許多組織低估了這種複雜性。您需要閘道架構，在維持以密碼為基礎的後端通訊同時，為使用者提供無密碼驗證；而對於無法直接支援 FIDO2 的系統，架構規劃必須及早開始。

• 您的監控基礎架構在部署前需要更新。 由於記錄不完整、錯誤代碼未文件化，以及缺少鑑識細節，事件回應會變得更加複雜。若在未先更新 threat hunting查詢與 SIEM 關聯規則的情況下部署無密碼驗證，將造成安全盲點，使團隊無法調查驗證失敗事件。
• 帳戶復原與備援驗證需要審慎規劃。 根據 FIDO Alliance 指南，使用者在部署無密碼驗證前，必須註冊多個驗證器（每位使用者至少兩個）。備援方法必須符合與主要方法相同的安全標準。NIST 指南禁止聯邦系統使用以 SMS 為基礎的驗證，改採符合 FIDO2 的硬體金鑰、基於時間的一次性密碼，或額外註冊的驗證器。
• 推播通知攻擊與 MFA 疲勞戰術仍是殘存的弱點。攻擊者會反覆觸發驗證提示，希望使用者在未確認合法性的情況下直接核准。請訓練使用者確認驗證請求是否與其實際登入嘗試相符，並對驗證核准實施速率限制。最危險的疏忽是在部署前未更新記錄能力。
• 實作時程會比預期更長。 根據 FIDO Alliance，多數組織需要分階段部署，時間橫跨一到兩年。嘗試立即切換而非分階段推出，經常會導致失敗。成功的企業會優先向可存取敏感資料的使用者推出，先採用目標式溝通策略，再擴展至更廣泛的人群。

這些挑戰有助於形成可帶來成功部署的最佳實務。

無密碼驗證最佳實務

先從與 NIST 和 CISA 框架對齊開始。 NIST SP 800-63B 建立了驗證器保證等級，用以定義驗證強度需求。請檢視 CISA's Zero Trust Maturity Model，將無密碼驗證定位為您的基礎身分控制。

從高風險使用者開始分階段部署。根據 FIDO Alliance research，成功的企業會優先處理可存取敏感資料的使用者，驗證技術實作、蒐集回饋，並在擴展前完善程序。在試行階段建立 threat hunting capabilities，讓正式環境監控從第一天就開始運作。

在準備您的基礎架構與使用者註冊時，請聚焦於以下關鍵需求：

• 在正式環境部署前，更新 SIEM 對無密碼驗證事件的關聯規則，包括異常錯誤代碼與失敗嘗試
• 在註冊期間強制每位使用者至少註冊兩個驗證器，以提供備援並建立復原路徑
• 依據 NIST SP 800-63B 標準支援多種驗證器類型（平台驗證器與漫遊驗證器）
• 使用符合 FIDO2 的硬體金鑰或基於時間的一次性密碼建立備援驗證，而非 SMS
• 將 identity security與更廣泛的安全營運整合，包括 SIEM 系統與事件回應程序
• 透過 FIDO Alliance 認證計畫，驗證所有驗證器硬體的 FIDO2 認證

請為延長的實作時程做好規劃。需要閘道架構的舊有系統整合、監控基礎架構更新，以及使用者採用要求，都需要持續且分階段的投入。請取得高階主管支持，以承諾多年期投入，達成完整的組織涵蓋。

即使已部署強大的無密碼驗證，安全性也不會在登入當下結束。持續監控驗證後活動，才能完整落實您的身分安全策略。

Singularity™ Identity

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點整理

無密碼驗證以永不離開您裝置的加密金鑰取代密碼，藉此消除一個主要攻擊向量。FIDO2 標準可提供抗網路釣魚能力、消除憑證填充攻擊，而根據 FIDO Alliance 調查，部署無密碼驗證的組織回報顯著的安全改善與服務台來電減少。 

從高風險使用者開始分階段部署、在正式推出前更新監控基礎架構，並與零信任架構整合。舊有系統整合仍是主要技術障礙，需要閘道解決方案與更長的實作時程。