3. Passkey的本质与类型
要真正理解 Passkey 在企业环境中的部署边界，必须先厘清一个常被混淆的问题：Passkey 并不是一种单一的技术对象，而是“FIDO2 凭证 + 平台化用户体验”的组合形态。它的底层仍然是基于公钥密码学的 WebAuthn 凭证，私钥永远不离开认证器；但不同平台对私钥的存储、复制和同步策略不同，于是分化出了两类在安全属性上差异明显的 Passkey：同步 Passkey（Synced Passkey）与设备绑定 Passkey（Device-bound Passkey）。这两者的区别，直接决定了企业能否接受“一把钥匙走遍所有设备”的便利，还是必须为高敏感系统保留硬件级绑定。
一、Passkey 的本质：私钥在认证器内生成并留存
无论哪一类 Passkey，注册流程的密码学本质是一致的。用户在某网站注册时，浏览器或操作系统调用平台认证器（如 iCloud Keychain、Google Password Manager、Windows Hello、1Password 等），在认证器内部生成一对密钥：私钥不出认证器，公钥连同凭证 ID、RP ID 一起发送给服务器保存。登录时，服务器下发随机挑战（challenge），认证器用私钥签名，服务器用已存公钥验签。整个过程没有共享秘密在网络中传输，因此天然抗钓鱼、抗重放。
关键差异出现在“私钥存在哪里、能不能被复制”。设备绑定 Passkey 的私钥被封装在特定认证器的安全硬件中（如 TPM、Secure Enclave、Titan 安全芯片），无法导出，也无法在另一台设备上重建；同步 Passkey 的私钥则被端到端加密后上传到云账户（如 Apple ID、Google 账户），再下发到同一账户下的其他设备。也就是说，同步 Passkey 的“多设备可用”是靠云同步实现的，而设备绑定 Passkey 的“多设备可用”只能靠逐台设备分别注册。
二、多设备凭证与密钥同步的工程含义
同步 Passkey 的“多设备”并不是把同一把私钥复制到多台设备，而是通过云账户的密钥库做端到端加密分发。以 Apple 平台为例，私钥在设备端用 Secure Enclave 生成的密钥加密后上传 iCloud Keychain，其他设备用同一 Apple ID 拉取密文并在本地解密使用。Google 的机制类似，私钥经 Google 账户的端到端加密通道同步到 Android 与 Chrome。这里有一个容易被忽略的细节：端到端加密的强度取决于平台实现，企业无法审计其具体算法与密钥托管方式，因此对合规要求高的组织，同步 Passkey 的“信任边界”实际上延伸到了平台厂商。
设备绑定 Passkey 则没有同步通道。每台设备、每个安全密钥都需要单独走一次注册流程，服务器端会为同一用户保存多条凭证记录。这带来两个直接后果：一是注册成本随设备数线性增长，二是凭证管理必须支持“多凭证并存 + 单条吊销”。在 WebAuthn 的注册响应中，服务器应记录 credentialId、公钥、signCount、transports、AAGUID 等字段，其中 AAGUID 可用于识别认证器型号，判断该凭证是平台认证器还是漫游安全密钥。
三、平台差异与选择建议
不同平台对 Passkey 的默认策略并不一致。Apple 生态默认将 Passkey 同步到 iCloud Keychain，用户很难在系统层面强制关闭同步；Google 在 Android 与 Chrome 上默认同步到 Google 账户，但企业可通过 Google Workspace 策略限制；Windows Hello 的 Passkey 默认绑定本机 TPM，属于设备绑定形态，除非用户主动使用第三方密码管理器。这种差异意味着，同一套企业认证策略在不同终端上可能得到不同形态的 Passkey，必须在部署前做终端盘点。
一个实用的判断原则是：按账户敏感度分层。普通员工访问 SaaS 办公套件，可接受同步 Passkey，以换取跨设备体验；管理员、财务、运维等特权账户，应强制使用设备绑定 Passkey 或硬件安全密钥，并至少注册两把备用密钥。对于需要满足等保、ISO 27001 或内部审计要求的场景，还应在身份提供商侧记录凭证类型，并在登录策略中区分“同步凭证”与“硬件绑定凭证”的允许范围。
四、企业落地时的关键检查点
- 凭证类型可见性：身份提供商是否能在注册时记录并展示该 Passkey 是同步还是设备绑定，避免“看起来都是 Passkey”却无法区分风险等级。
- 多凭证注册：是否允许同一用户注册多把 Passkey，并支持在丢失设备后吊销单条凭证而不影响其他设备。
- 恢复流程：设备绑定 Passkey 丢失后，是否有独立于 Passkey 的恢复通道（如线下身份核验 + 临时凭证），且恢复过程本身不能成为钓鱼入口。
- 平台策略一致性：是否在 MDM 或 Workspace 策略中限制了云同步范围，避免员工用个人 Apple ID 同步企业凭证。
理解同步与设备绑定的差异，本质上是在“便利性”与“私钥可控性”之间做取舍。Passkey 的密码学底座是统一的，但密钥生命周期管理因平台而异；企业要做的不是二选一，而是按账户等级、终端类型和合规要求，把两类 Passkey 放到合适的位置上。