现在主流基于 FIDO2/WebAuthn 的无密码认证（通行密钥 Passkey）依靠域名绑定的公钥签名机制，能够直接挡住传统仿站钓鱼、验证码中继劫持这类攻击，私钥保存在本地安全硬件里不会上传，就算用户点开假网站，设备也不会生成合法签名给攻击者，但是这套防御不是万能的，它只解决 “站点仿冒窃取凭证” 这一类钓鱼，遇到认证降级攻击、设备本身中毒、账号恢复流程被社工、推送疲劳攻击这些场景，防护效果就会失效，企业落地的时候不能把无密码认证当成全场景安全兜底方案，需要搭配设备管控、登录风控、账号恢复策略一起使用，分清它能防什么、防不住什么，才不会出现安全误判。
一、无密码认证抵御钓鱼的核心机理
- 公私钥分离存储
- 认证签名绑定站点来源（域名 / 依赖方标识）
- 本地核验优先，不靠用户人工判断网址
- 挑战应答一次性有效
服务端只保存公钥，用来校验签名；私钥存放在设备安全芯片、TPM、手机安全隔离区，永远不会向外传输，不存在密码、验证码被页面抓取、拦截的条件。
浏览器、认证器会读取当前访问站点的域名，签名的时候把域名信息一起写入校验内容。钓鱼网站域名和合法站点不一致，就算拿到用户确认，产出的签名对真实平台无效，无法中继登录。
传统防御需要用户自己分辨网址对错，无密码认证是系统底层做域名校验，不依赖人的肉眼识别，大幅降低人为失误带来的钓鱼风险。
每次登录是服务端下发一次性随机挑战，签名只能用于这一次登录，攻击者拿到签名也无法复用重放。
注意：短信、邮件魔法链接这类 “叫无密码” 的方案不属于这套抗钓鱼体系，依然容易被劫持，只有 FIDO2 规范的 Passkey、硬件密钥才具备原生抗钓鱼能力。
二、无密码认证钓鱼防护边界清单（能防 / 不能防）
| 攻击类型 | 是否可以防御 | 简单说明 |
|---|---|---|
| 静态仿站钓鱼、密码窃取、验证码钓鱼 | ✅ 可防御 | 域名绑定机制直接阻断签名生成 |
| OTP 中继、AitM 中间人中继钓鱼 | ✅ 可防御 | 签名绑定来源，中继后的签名无法通过校验 |
| 认证降级攻击（引导切换回验证码 / 密码） | ❌ 无法单独防御 | 平台保留备用登录通道，社工诱导用户走弱验证 |
| 设备木马、系统 Root / 越狱、恶意软件读取密钥 | ❌ 无法防御 | 安全芯片被绕过、系统被控制，攻击者可直接调用凭证 |
| 账号恢复流程社工诈骗 | ❌ 无法防御 | 找回、换绑、申诉环节大多还是依赖手机号、邮箱、人工核验 |
| 推送疲劳轰炸（MFA Fatigue） | ❌ 无法单独防御 | 攻击者大量推送登录请求，用户误点同意 |
| 身份服务商本身被入侵 | ❌ 无法防御 | 依赖的 IdP、SSO 平台被拿下，信任源头失效 |
| 企业内部恶意人员、已接管可信设备 | ❌ 无法防御 | 设备本身已经不可信 |
三、典型越界攻击场景拆解
场景 1：降级攻击（最常见）
平台为了兼容丢设备的情况，保留短信验证码、备份码作为备选登录方式。钓鱼页面欺骗用户说通行密钥异常，引导切换到验证码登录，这时防护直接失效。解决方案是企业侧关闭非必要备选通道，强制 FIDO2 无密码作为唯一登录方式。
场景 2：设备层风险
手机被越狱、电脑植入恶意程序，恶意程序调用系统 WebAuthn 接口或者提取密钥，此时底层信任根基被破坏，和认证协议本身无关。
场景 3：账号找回社工攻击
攻击者不碰登录环节，专门针对找回流程，骗客服、骗用户换绑手机号，绕过登录认证接管账号。
四、落地加固步骤，补齐边界短板
- 选型阶段：优先 FIDO2 Passkey 或者硬件安全密钥，不要把短信、邮件链接类方案当成抗钓鱼无密码认证
- 平台配置：关闭不必要的备用验证方式，禁用可降级的备选 MFA 通道，减少社工入口
- 设备管控：企业终端开启 EDR、安全基线，禁止越狱、Root，限制陌生设备注册通行密钥
- 风控叠加：新增异地登录、新设备、高频登录的告警和人工复核，拦截推送疲劳攻击
- 账号恢复流程收紧：找回、换绑不只用单一短信，增加工单核验、企业管理员审批
- 人员培训：重点告诉员工，无密码不是绝对安全，遇到提示切换验证码、备份码时高度警惕
五、容易踩的认知误区
- 误区 1：开启无密码认证之后，账号就不怕钓鱼了
- 误区 2：所有叫 “无密码登录” 的技术都抗钓鱼
- 误区 3：通行密钥一旦注册，攻击者没有任何办法
真相：只防仿站窃取凭证类钓鱼，社工诱导降级、设备中毒、找回诈骗依然存在风险。
真相：短信、邮件一键链接属于弱无密码，没有域名绑定签名机制，很容易被劫持。
真相：攻击路径从 “登录页面偷凭证” 转移到设备、账号找回、备用通道这些外围环节。
【常见问题】
问题 1：无密码认证的钓鱼防御机理依靠域名绑定签名，这套机制的防护边界能不能挡住诱导切换验证码的降级钓鱼？
回答 1：不能，无密码认证的钓鱼防御机理只在使用 FIDO2 通行密钥本身的登录链路生效，如果平台保留验证码、备份码等备选登录通道，攻击者通过降级钓鱼诱导用户切换到弱验证方式，就会突破这个防护边界。
问题 2：无密码认证钓鱼防御机理里私钥保存在本地，是不是代表设备中毒之后，无密码认证依然可以抵御钓鱼攻击？
回答 2：不是，无密码认证钓鱼防御边界不包含设备被恶意软件控制的场景，如果设备 Root、越狱或者植入木马，攻击者可以调用本地认证凭证，绕过域名校验的防御机理，完成账号接管。
问题 3：搭建无密码认证抗钓鱼体系，想要扩大防护边界，只给用户下发通行密钥够不够？
回答 3：不够，想要扩大无密码认证钓鱼防御边界，除了部署基于 FIDO2 机理的通行密钥，还需要关闭多余备用登录通道、做终端安全管控、风控告警和收紧账号找回流程，单一通行密钥无法覆盖全部钓鱼攻击链路。
【参考资料】
[2026-02-01]（Passwordless Authentication: Security Benefits and Limits）SafeAeon
[2026-01-06]（金融行业网络钓鱼攻击的范式演进与防御体系的适应性强化）中国信息安全
[2025-07-29]（How attackers are still phishing "phishing-resistant" authentication）BleepingComputer
[2021-08-11]（Is Real-time Phishing Eliminated with FIDO? Social Engineering Downgrade Attacks against FIDO Protocols）USENIX Security Symposium
【免责声明】
本文基于 FIDO2、WebAuthn 公开技术文档、安全行业研究文献整理；无密码认证钓鱼防御机理、防护边界会随着攻击手段、产品实现方式发生变化，不同厂商的无密码方案实现差异会直接影响防护能力；内容仅作为安全科普、架构评估参考，不构成企业身份系统落地、安全整改的直接方案，正式上线前建议完成专项渗透测试与风险评估。