待验证60% 置信事实精确时间

Passkeys登录时服务器发送随机挑战，设备用私钥签名后返回，服务器用公钥验证签名，由于私钥从不传输，即便服务器数据库被盗也无法伪造身份

2

来源数

60%

置信度

长期有效

时效性

2026/7/16

首次发现

来源

Passkeys与数字凭证：现代身份认证实战指南

相关事实

待验证由于 Passkey 私钥从不传输，即便服务端数据库泄露也无法还原凭据，挑战-响应机制从根本上消除了钓鱼攻击的可能性79% 相似待验证Passkeys 私钥保存在用户设备的可信执行环境（TEE）或硬件安全模块（HSM）中，服务器只存储公钥。79% 相似待验证若签名校验被绕过、私钥泄露，或更新服务器与下载通道被劫持，攻击者就能向用户机器推送任意代码。75% 相似待验证PassBolt中每个用户拥有独立的密钥对，一旦私钥丢失将无法恢复数据74% 相似待验证由于服务器不记录调用方身份的历史状态，单凭一串API Key字符串就足以代表完整的身份权限，Key一旦泄露即可被无限制滥用73% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/526869

API

curl https://kongchang.com/api/v1/knowledge/claims/526869

MCP

get_claim(id=526869)