作者：許可欣 / 臺灣大學計算機及資訊網路中心程式設計組行政專員
人類是群居動物，群體生活必然遇見的第一個問題便是個體間的彼此辨識。許慎《說文解字》「名」字條目解釋是：「名，自命也。从口从夕。夕者，冥也。冥不相見，故以口自名」。 亦即為了在光線昏暗看不清的時候也能分辨誰是誰，於是人們用口發出（特定的）聲音讓其他人知道自己是誰。這便是「帳號」的原型。本文則從帳號+密碼、雙重認證到通行密鑰（Passkey）技術引發的一點延伸思考...
源起
人類是群居動物，群體生活必然遇見的第一個問題便是個體間的彼此辨識。許慎《說文解字》「名」字條目解釋是：「名，自命也。从口从夕。夕者，冥也。冥不相見，故以口自名。」
亦即為了在光線昏暗看不清的時候也能分辨誰是誰，於是人們用口發出（特定的）聲音讓其他人知道自己是誰。這便是「帳號」的原型。隨著生產技術提升與群體規模擴大，交易、分享、饋贈甚至劫盜、詐取之類個體互動行為的大量發生，所有權及資本、財產等概念應運而生，「帳號」所代表的身份又與個人所有及所得緊密連結。網際網路的出現縮短了距離，卻也為犯罪行為開闢了新的途徑。為了保護個人身份及與之連結的財產所得，便需要額外手段來避免假冒及篡改。
帳號+密碼
最常見的做法是「帳號」搭配「密碼」，其預設邏輯是帳號+密碼的組合足以保證上述二者成立。亦即，正確的帳號+密碼組合對系統伺服器而言意味著客戶端是帳號所有者本人（或取得其授權）所執行，合乎規範的操作。反之，只要能破解密碼，即可隨意存取他人帳號。為了避免帳號輕易被盜用，對密碼的長度、複雜度、更換頻率、重複程度等要求也越加繁瑣，此等策略雖降低了密碼被破解機率，但使用者生成及記憶密碼的負擔也同時大幅提高。
雙重認證（2FA）
因應網路詐騙及個資外洩的日漸猖獗，雙重驗證（2-factor authentication，2FA，是多重驗證MFA的一種形式）被進一步提出。亦即，要求使用者以兩種（乃至更多）不同方式證明其身分，才可被賦予存取權限。一般常用的驗證因素有
- 所知內容：僅使用者能得知的資訊，比如密碼或安全性問題的答案；
- 所屬物品：使用者擁有的實物。例如可產生密碼的硬體金鑰，或可傳送代碼的行動裝置；
- 生物特徵：使用者獨有的生物學特徵，例如指紋、虹膜、面部特徵辨識等
- 所在位置：GPS等定位工具，可限制僅驗證指定地理區域內的使用者。
雙重認證是由上述四類中任選二類做為驗證因素，比起只用帳號+密碼確實保護更嚴密了。但是，麻煩也更麻煩了。而且雖然有兩道驗證關卡，但驗證的重要資訊亦不免需透過網路由使用者端傳送至伺服器端。
通行密鑰（Passkey）
通行密鑰Passkey是一種基於WebAuthn（Web Authentication）標準和FIDO2框架的現代數位身份驗證技術。其以公鑰加密技術保障安全性，使用者得以不依賴傳統密碼安全登入各種數位服務。當使用者在設備上建立Passkey時，該設備會生成一對公私鑰，其中私鑰會安全地存儲在使用者設備上，而公鑰則與服務器或應用程式共享。當使用者向伺服器發出登入請求，伺服器就會隨機生成一個別人猜不到的資訊，把它用伺服端的公鑰加密，然後以此「挑戰」使用者端，使用者端必須嘗試解密，並把解密結果回傳伺服器端。若使用者端持有私鑰，就能成功解密，挑戰成功；如果沒有私鑰，就幾乎不可能挑戰成功。Passkey的優勢在於私鑰不需每次輸入並經過網路傳送，從而大大減少了駭客攻擊和數據洩露的風險；同時私鑰記錄在設備裡，沒有忘記或頻繁更換密碼的問題，對使用者而言也更加友好。
剩下的問題
通行密鑰看起來確實有效提升帳號的安全性，對使用者更加友善，看起來一切都很完美，只剩下一個小問題：驗證用的綁定設備/特定資訊成為了可以代表「我」的東西，換個方向思考，這個設備/特定資訊是否也能取代「我」？隨著網路及人工智慧技術飛速發展，是否在可預見的未來我們會面臨頻繁向各方證明「我」是「我」，不是一台設備也不只是一則訊息？到那時，我們又該如何應對呢？