01 / 身分驗證技術
註冊時產生一對不同用途的鑰匙
建立 Passkey 時，裝置或安全金鑰產生公鑰與私鑰。公鑰可交給網站保存，私鑰則留在受保護的裝置環境，不應上傳給網站。
公鑰只能用來驗證對應私鑰做出的簽章，不能實際推回私鑰。網站資料庫因此不需要保存一份可直接輸入的共享密碼。
裝置可能透過受保護同步把 Passkey 帶到其他已授權裝置，但實作與恢復方式依系統而異。使用前應了解遺失裝置時的復原流程。
02 / 身分驗證技術
登入時簽署一次性挑戰
登入時，網站先送出一段隨機挑戰資料。裝置在用戶解鎖後，以私鑰簽署挑戰，再把簽章送回網站。
網站使用已保存的公鑰驗證簽章是否正確。每次挑戰不同，攻擊者截取舊簽章也不能簡單重播成新登入。
整個流程沒有把私鑰或傳統密碼交給網站。裝置只證明自己持有正確私鑰，這是非對稱密碼學的核心差異。
03 / 身分驗證技術
指紋與面容通常只負責本機解鎖
手機要求指紋、面容或裝置 PIN，通常是為了在本機批准使用私鑰。生物特徵本身不會作為 Passkey 傳送給網站。
網站收到的是密碼學簽章與相關驗證資料，不是完整指紋圖像。這個分層能把本機身分確認與遠端網站驗證分開。
若裝置已被他人解鎖或恢復機制遭接管，Passkey 仍可能面臨風險。因此螢幕鎖、系統更新與帳戶恢復保護同樣重要。
任何客服要求傳送指紋、裝置 PIN、恢復碼或螢幕共享來『啟用 Passkey』，都應停下並透過可信渠道核對。
共用裝置上尤其要避免讓其他人可使用你的本機解鎖方式。Passkey 減少共享密碼風險，卻不會自動解決裝置共用造成的授權問題。
04 / 身分驗證技術
網域綁定有助阻擋仿冒頁
Passkey 憑證會與特定網站識別資料關聯。仿冒頁即使外觀相同，只要網域不符，瀏覽器通常不會提供原網站的 Passkey。
這種抗釣魚特性比讓用戶肉眼辨認每個相似字母可靠，但不是所有欺詐問題的保證。使用者仍可能被誘導做其他轉帳或披露資料。
Passkey 成功登入只證明憑證與網站匹配，不能證明遊戲公平、服務合法或內容可靠。身分驗證與平台評估是不同安全層。
05 / 身分驗證技術
啟用前先準備恢復與撤銷
應確認有哪些裝置持有 Passkey、如何移除遺失裝置，以及帳戶是否另有可靠恢復方法。只在可信裝置與正確網域建立憑證。
出售或送出舊裝置前，要先登出帳戶、撤銷相關憑證並依系統指引安全清除。只刪除桌面圖示不等於移除身分憑證。
本文僅供知識分享，請理性看待；本站不接受投注、不提供註冊或博彩平台連結。數位安全工具不能消除娛樂風險，仍應設定時間與支出界線。