文章记录实习生首次部署硬件安全密钥作为 Passkey 的全过程，验证其能否在满足零信任强双因子认证前提下，提供类单点登录的无密码体验，结论是多协议密钥兼容主流系统，但部署前必须核对设备 OS 版本与物理接口。
协议与厂商选择：
Passkey 基于 FIDO2 与 WebAuthn 标准，能抵御凭证窃取与钓鱼攻击。FIDO Certified Showcase 列出所有认证产品。Yubico 作为 FIDO2、WebAuthn、FIDO U2F 三大标准主要贡献者，率先推出支持 FIDO2 的密钥系列，成为测试首选。原文未给出具体市场份额数据。
设备兼容性清单：
密钥仅限在已打补丁的受信设备上使用。最低 OS 要求：Windows 10 1903、ChromeOS 90、Chrome 浏览器 90、macOS Catalina、Ubuntu 18.04。测试者选用 YubiKey 5Ci，具备 Lightning 与 USB-C 双接口；无 Lightning 设备可选同系列 NFC 型号，贴近移动设备即可通讯。原文未给出具体测试通过率数据。
部署取舍与剩余风险：
硬件密钥解决了凭证被盗风险，但引入物理设备管理成本：需为每位用户采购、分发、替换密钥，且依赖设备端 OS 版本达标。若环境包含旧版 Windows 或未受管终端，需先完成补丁基线才能上线。原文未给出具体成本或故障率数据。
对运维团队，关键动作是建立 OS 版本基线清单、纳入 FIDO 认证产品采购白名单、制定密钥全生命周期发放与回收流程，才能在零信任架构中真正落地无密码强认证。
原文: APNIC Blog（2023-11-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog