无密码 认证 是指任何 不使用 传统密码、 安全 问题 或其他知识因素来验证 用户身份 的 认证方式。 取而代之， 无密码 认证方法 使用更难窃取或伪造的东西，如通行密钥、物理 安全 密钥 和 生物识别技术。
密码 或许是 最常见的 用户认证方式。但它们也是最薄弱的环节。 密码可能通过 网络钓鱼 攻击 和信息窃取 恶意软件被盗， 通过 暴力破解攻击 被猜出，或从 暗网 买到 —— 黑客 在暗网上以几美元 一个的价格出售密码。
凭借窃取的凭证， 威胁行为者 可以接管合法账户，滥用其有效 权限 并躲避侦测——因为 其活动看起来就像 授权用户一样。 根据 《2025 年 IBM X-Force 威胁情报指数》，有效账户盗用是最常见的 初始 访问途径之一，在 X-Force 分析的 32% 的 网络攻击 中都 存在。
其他知识因素——即任何依赖用户所知晓秘密的 认证因素 ——也存在同样弱点。 常见安全问题（如第一只宠物的 名字或儿时挚友的名字）的答案，可通过 社会工程 或 简单的 社交媒体窥探轻松发现。
尽管名称中包含“密码”， 无密码 认证摒弃了 所有 知识因素，包括安全问题。 无密码 方法 用 硬件令牌、 密码学通行密钥、 指纹、 面部扫描、身份验证器 应用程序 等替代了这些知识因素。
这些 无密码 认证因素被认为比 知识因素安全得多。 它们不 易被窃取或伪造， 使 其能抵御 当今一些最普遍的网络威胁。 例如，网络犯罪分子无法通过网络钓鱼链接窃取通行密钥，也无法在没有高度精密技术的情况下 制造假指纹。
加入安全领导者的行列，订阅 Think 时事通讯，获取有关 AI、网络安全、数据和自动化的精选资讯。快速访问专家教程和阅读解释器，我们会将这些内容直接发送到您的收件箱。请参阅 IBM 隐私声明。
无密码 认证通过用非基于知识的替代方案，取代 认证过程 中的知识因素来运作。 因此， 无密码 登录 流程可能不会要求 输入密码，而是要求用户点击一个魔法链接或轻点一条推送通知。
要完全理解 无密码 认证的 逻辑，首先了解一下认证的一般 工作原理会有所帮助。
在典型的认证 过程中，用户通过提供 证据来证明自己确为所声称的身份。这种证据称为“认证因素”，通常属于以下四类之一：
知识因素：用户知道的东西，如密码或安全问题的答案。
拥有因素：用户拥有的东西， 如 个人智能手机 生成的 一次性 密码或私有 加密密钥。
固有因素：用户所是的东西，通常指 指纹、 面部 和视网膜扫描等生物识别特征。
行为因素：用户所做的事情，如独特的打字模式或鼠标手势。
无密码 认证 方案仅使用拥有因素、 固有因素 和行为 因素。 更具体地说，常见的密码替代方案包括：
通行密钥基于 公钥加密技术，通常依据一套被称为 FIDO 或 FIDO2 的标准实现。
通行密钥的工作原理是生成一个 加密 密钥对：一个公钥，与用户 正在注册的 任何 服务 共享； 一个 私钥 ，保存在 用户设备（如个人 智能手机）上。私钥永远不会与 服务端 共享。此外，私钥 被锁在 PIN 码或生物识别验证之后。
（FIDO 标准也 支持 硬件安全密钥。 更多信息请参见“硬件令牌”。）
使用通行密钥的认证流程如下：
通行密钥被认为比 密码 安全得多，原因有几个。 私钥永远不会离开用户设备，因此无法被截获。如果攻击者确实窃取了 包含 私钥的设备，他们仍需输入 PIN 码或通过生物识别 验证 才能使用该密钥。
正如 IBM 杰出 发明家、 杰出 工程师 Jeff Crume 在 IBM Security Intelligence 播客的一期节目中所说：
[ 2025 年 IBM 数据泄露成本报告]中 泄露的头号 途径是网络钓鱼。 而网络钓鱼，他们图的是什么呢？ 他们 图的是你的凭证。嗯，你猜 怎么着？如果你 没有 密码，没人能从你那儿偷走它。如果你有通行密钥，那 就要 困难得多。
生物识别认证 依赖 于用户的身体特征。 视网膜扫描、 面部识别 技术 和 指纹扫描 是一些最常见的生物识别形式。
生物识别因素被认为安全，因为它们不易被窃取或伪造。 它们 也被认为用户友好， 因为用户 无 需做 任何特别的事情 来输入生物识别凭证——只需看向摄像头或将拇指按在屏幕上即可。
其弊端在于， 虽然 极为 罕见， 但生物识别特征 仍有可能 被盗。 例如，2024 年， 黑客从一家名为 Outabox 的 澳大利亚公司窃取了面部识别数据。而且，当生物识别特征被盗后，它们 无法 像密码那样重置。一个人 无法 改变自己的指纹或视网膜模式。
顾名思义，一次性密码 (OTP) 是单次使用的密码，通常仅在短时间内有效， 用于替代常设凭证。 每当用户需要登录某项服务时，他们 会生成一个新的 OTP。
OTP 可通过多种方式生成。最常见的 方法包括：
OTP 不被视为知识因素， 因为它们不是 长期存在的 秘密。OTP 是 拥有因素。 验证一个人的依据 不是对 OTP 的知晓，而是拥有 生成 该 OTP 的注册身份验证器应用程序、电话号码或安全密钥 。
OTP 通常 在使用一次或经过 设定 时间段后 过期，这降低了它们在被盗或遭截获时的价值。 但它们 仍可能 通过某些狡猾的手段被盗，例如信息窃取恶意软件或 中间人 (MitM) 攻击。
硬件令牌，也称为安全密钥，是 专用设备——通常采用 USB 加密狗的形式—— 包含 或 生成认证信息。
某些硬件令牌 使用 OTP。它们要么像身份验证器应用一样定期生成新的 OTP，要么在用户按下按钮时按需生成 OTP。其他令牌则在插入设备时自动向服务 传输 认证信息。
硬件令牌被认为是 强 认证方式，因为 它们 通常完全不连接互联网，且必须实际 持有 令牌才能使用。
即便如此，安全密钥可能丢失或被盗。向服务的每位员工或用户分发 密钥 可能成本高昂，且在后勤上不可行。
魔法链接是 包含 认证令牌的特殊链接。
首先，用户将他们的电子邮件账户或电话号码注册到某项服务。 然后， 当他们想要登录时，请求一个魔法链接。 服务将该链接发送到注册的邮箱或 移动设备。用户 点击 后， 即被 带到想要访问的服务，完成认证并登录。
魔法链接是一种拥有因素，但证明用户身份的依据 并 非拥有链接本身， 而 是 拥有先前注册的电子邮件账户或 电话号码。
与 OTP 一样，魔法链接 仅 在短时间内有效，且使用一次后自动过期。
然而，如果攻击者确实获取了用户电子邮件收件箱或电话号码的访问权限，魔法链接就可能被轻易滥用。攻击者只 需 导航到他们想要破解的服务，请求一个 链接 ， 即可 进入。
推送通知的作用与魔法链接 有些 类似 ，当用户尝试登录某项服务时，该方法会向他们 先前注册的 移动设备发送推送通知。用户必须在推送通知上点击“批准”（或类似按钮）才能获得访问权限。
推送通知是另一种拥有因素。 点击操作 确认 用户 拥有 注册设备，从而验证 其身份。
推送通知方便且 基本安全， 但 容易受到称为“推送 通知轰炸”（也称为“MFA 疲劳攻击”、“MFA 轰炸”或“推送骚扰”）的攻击。
在此攻击中，威胁行为者导航到他们想要入侵的服务，输入 目标 用户的 ID，并反复通过推送通知请求 认证 。突然涌入 目标 设备的大量通知旨在造成不堪重负，使受害者意外批准其中一条 ，或仅为让通知停止而批准。 一旦 批准，黑客就能 进入用户账户。
基于二维码的登录会显示 一个二维码。用户扫描该码——通常使用身份验证器 应用程序或他们 正在访问的服务专用的应用程序——即可完成登录。
其基本机制是 会话 转移。 例如，用户想用二维码在其笔记本电脑上登录网站 ：
即使攻击者获取了二维码，没有用户 预先认证的 设备 ，他们 也 无计 可施 。即便如此，攻击者 理论上可以劫持 用户的手机会话，并以此方式侵入账户。
基于二维码的认证也易受 “打压”（又称 QR 钓鱼或 QR 劫持）的攻击。攻击者向受害者展示虚假二维码，扫描后批准的并非合法会话，而是攻击者控制的会话。
行为因素是基于行为模式（如用户典型 IP 地址范围、 位置 和平均打字速度）来验证用户身份的数字特征。
这些因素很少单独用作充分的身份证明。 它们 更常见于 基于风险的认证 方案中，该方案持续评估用户的 安全态势 ，以根据风险级别动态 确定 认证 要求 。
例如，用户在其正常设备上、于正常时间登录，可能只需 提供一个认证因素。而同一用户在新设备或陌生地点登录时，则可能需要提供 额外的 因素。
主要受 云服务、人工智能和机器学习的兴起驱动，近年企业网络中活跃的 非人类身份 (NHI) 数量急剧 增加 。随着 AI 智能体 实现日益复杂的自动化， 管理 NHI 的权限并保护其凭证，正成为网络安全团队的核心关注点。
非人类账户可像 人类账户一样被劫持。它们通常拥有较高权限 （试想一个能读取最敏感企业数据库的 备份进程） ，且依赖单一凭证进行认证，这使其成为具有吸引力且可能脆弱的攻击目标。
虽然 NHI 不 像人类那样使用密码， 但它们通常依赖证书 和令牌，而这些与密码类似，同样可能被盗、被伪造或被破解。
人类用户的无密码 认证 ，是 为了 去除那些容易被盗或伪造的长期凭证。组织可通过结合即时访问和凭证保险库，为 NHI 获取类似的好处，正如 安全生命周期管理 流程所示。
安全生命周期管理可自动化 NHI 凭证的创建、 轮换 和安全存储，用存储在中央安全保险库中的临时或即时凭证，取代持久化、硬编码的机密。反过来，保险库受加密和强认证措施 保护，以帮助确保仅授权用户能在需要时访问这些凭证。
HashiCorp 现场首席技术官 Jake Lundberg 在 Security Intelligence 的一期节目中，概述了超短期 NHI 凭证的愿景：
最佳 情况 是 转向 基于 会话 的 凭证 。 当我的会话启动时，我 拥有 一个 即时凭证。会话一结束，我就实际清除这些凭证。所以当我的会话结束时，即使它只持续了五分钟，我们也会从那些系统中移除这些凭证。
诸如 SPIFFE/SPIRE 等工作负载身份 规范，可将 NHI 身份与 加密可验证的运行时属性 绑定 。这些框架 使得依据工作负载的运行位置和方式对 其 进行验证成为可能，从而让 NHI 无需密码或 API 密钥即可进行认证。
无密码 登录可以实现为单因素认证（要求一个非知识因素）或 多因素认证 (MFA) （要求两个或更多非知识因素）。无密码 MFA 实现被认为比标准 MFA 或 双因素认证 (2FA) 更安全，后者通常 使用 密码作为第一个因素。
（既要求密码又要求其他非知识因素的 MFA 实现并非 无密码 ，因为它仍涉及密码。所有涉及的因素都需为非知识因素，才是真正的 无密码 登录。）
并非每个应用程序都原生支持 完全 无密码 的选项。要在整个企业网络中实施 无密码 认证 ，组织通常 使用 身份编排 平台。这些工具将来自多个身份提供商的分散的身份和 访问管理 (IAM) 系统连接并协调 起来，形成 统一的 身份架构 ，提供单一、 无摩擦的 身份 工作流。 身份编排是许多 单点登录 (SSO) 系统背后的技术。
本质上，身份 编排的工作原理是将各服务的登录请求改为通过一个集中流程进行路由，并且 许多身份编排平台支持 无密码 的集中认证流程。因此，即使技术栈 中的 个别 应用程序和服务不 支持，整个企业也可以实现 无密码。
基于密码的认证 长期以来一直是 验证用户身份的默认方法。 不幸的是，它也是最不安全的。 无密码 方法可以消除现代网络中最薄弱的环节之一，弥补企业攻击面中一个被广泛利用的 缺口。
密码很容易通过社会工程攻击 （如网络钓鱼）和恶意软件（如间谍软件和信息窃取程序）被盗。 它们 特别容易受到帮助台 攻击，即 恶意行为者 致电帮助台，假扮 成 需要重置 密码的用户或员工的社会工程 骗局 。 这些攻击正变得 越来越普遍，因为它们极具破坏性且非常有效。正如 IBM X-Force 前 首席人员黑客 Stephanie Carruthers 曾说过的：
我们为客户开展社会工程活动， 目标 是致电他们的帮助台，看我们是否能冒充员工重置密码。 迄今为止， 我们 每次这样做都成功了。
人们经常使用 弱密码 ，攻击者 可以 通过暴力破解和字典攻击（即不断尝试 常见密码，直至成功）破解它们。 人们 还 在多个服务中重复使用密码，从而导致 凭证填充。当攻击者获得一个服务的密码后，他们也会在许多其他服务上尝试使用。
即使 人们遵循 最佳 密码 实践——为每项服务使用不同且难以猜测的密码——也会遇到问题。 考虑到人们拥有的账户数量之多， 这些密码 很容易 被 忘记。对于 NHI 凭证（如 API 密钥），它们可能会被硬编码到应用程序中，或 以明文形式 在 共享驱动器中不受保护地存放。
密码管理 工具应运而生以 解决这些密码卫生挑战，但它们自身也存在 特有的 漏洞。即： 大多数 密码管理器由主密码保护，而主密码本身 也可能 被盗。 因此，是的，黑客可以通过适当的操作窃取已保存的密码。
NHI 的激增，也在推动 无密码 认证成为优先事项方面 发挥了作用。
应用程序、系统 进程 及其他 非人类用户 没有 传统密码，但 它们确实使用 OAuth 令牌、 API 密钥、 证书 及其他机密来认证自身。 横跨 传统 人类与非人类能力界限的 AI 智能体，甚至可能“借用”其人类用户的凭证来运行自动化任务。 所有 这些机密 都可能 像密码一样被窃取和滥用。
传统的 IAM 系统 并非为 NHI 机密管理而设计，这造成了 一个身份安全缺口。
身份与安全专业人士 意识到 这些压力 已有相当一段时间。 但由于技术终于迎头赶上， 无密码 方法 现在正获得发展势头。智能手机使日常用户采用 生物识别 和基于时间的一次性 密码 变得 可行 。FIDO 标准以及底层 WebAuthn 和 CTAP2 协议 的 发展，使基于通行密钥的认证得以广泛用于 网站和网络应用程序。 而新的 安全生命周期管理 工具，使 组织能够为 NHI 自动化凭证的创建、轮换、 存储 和访问管理。
无密码 认证被广泛认为比基于密码的方法更安全、更便捷。其缺点 主要与 实施 无密码 方案本身的潜在复杂性和费用有关。
在大多数组织中， 忘记密码 就意味着致电 IT 帮助台。 这些来电耗费资金，使 IT 人员无法从事更有价值的工作，并打断员工的工作流。 而如前所述，帮助台来电为 威胁 行为者 提供了一条有效的攻击途径。
无密码 认证意味着不再需要密码重置，这可以减少帮助台来电、 削减 IT 支持开支，并 消除一个 危险的威胁途径。
被盗凭证不仅是进入网络的 主要途径之一 ，也是 黑客进入 内部 后的首要目标。在最新的 威胁情报指数报告 所分析的 攻击中，凭证窃取是最常见的影响，存在于 26% 的案例中。
攻击者一旦获得这些凭证，便利用它们进行横向移动 和 权限提升， 或是在暗网上将其出售给其他攻击者。无论哪种方式，被盗的密码都会导致重大损害。
无密码 凭证 不仅本身更难窃取， 而且即便被盗，用途也十分有限， 甚至 完全无法出售。例如，您 无法 通过入侵某项服务来窃取通行密钥，因为该服务根本 不 存储任何通行密钥。 每个通行密钥都保存在用户个人设备上。也 没有人 会 花钱购买已经过期的一次性密码。
尽管有这些优点， 无密码 认证 也存在 缺点，包括复杂的 实现、丢失或被盗 凭证 难以重置，以及 无密码 登录容易遭受的 独特网络攻击。
一般的企业网络 包含 本地部署和云端应用及资产的混合体， 来自不同供应商，其 访问管理 系统 略有差异，并 非 总是支持 无密码 认证。
一些专家预测， 氛围编码的 临时性软件很快 将在企业网络中变得更加普遍，从而将更 混杂的 IAM 系统 引入混战。
许多组织发现，在采用 无密码 认证之前，必须先 构建 一个集成的身份架构 ，将所有资源统一在一个共同的身份工作流中。 尽管整体的身份 架构 如今被认为是身份安全的最佳 实践，但构建它确实 需要 时间、资金、 工具 和 专业知识。
让用户注册 无密码 认证流程也可能带来挑战，具体取决于组织希望支持的凭证类型。通行密钥和身份验证器应用程序 相对简单，但硬件安全密钥和生物识别则更为复杂。
无密码 认证因素不太需要重置。但一旦需要，过程可能很困难。
例如，丢失的硬件密钥需要花钱 更换，并且 必须实物分发给用户。被盗的生物识别特征 无法 更改。丢失或被盗的 包含 身份验证应用程序的智能手机，可能让 威胁 行为者访问用户的整个数字生活。
虽然 无密码 认证方法更难破解，但它们也 易受某些复杂 攻击的影响。
例如，足够 先进的 中间人攻击方案，可在 一次性密码 被输入真实网站之前、在其过期之前将其拦截，使黑客能在 合法用户 使用之前抢先使用。SIM 卡交换方案——骗子 冒充 受害者，说服 其 电信 提供商 将号码转移到骗子控制的手机上—— 也 为 攻击者提供了拦截一次性密码、推送通知、魔法 链接 及其他常见认证因素的途径。