在現代的軟體開發與系統維運中，身分驗證（Authentication）始終是安全防禦的第一道防線。對於初入行的工程師來說，最直觀的驗證方式是使用者輸入帳號密碼，但這種傳統模式在面對大規模社交工程攻擊或資料外洩時顯得極其脆弱。Google 提出的一套帳號安全工具集，實際上反映了目前業界從「密碼導向」轉向「無密碼（Passwordless）」與「多因素驗證（MFA）」的技術演進脈絡。
擺脫密碼依賴：Passkeys 的技術核心
傳統密碼最大的問題在於它是一個「共享秘密」，使用者與伺服器端都持有同一份密碼。一旦伺服器被攻破或使用者在多個平台重複使用相同密碼，帳號就會被輕易盜用。
Passkeys（通行金鑰）解決了這個問題，它基於 FIDO 標準，利用非對稱加密技術。簡單來說，系統會產生一對金鑰：私鑰（Private Key）儲存在使用者的裝置硬體安全模組中，而公鑰（Public Key）則儲存在伺服器端。當使用者登入時，伺服器發出挑戰，裝置使用私鑰簽名後回傳，伺服器用公鑰驗證即可。
對於使用者而言，這意味著他們不再需要記憶複雜字串，而是透過生物辨識（如指紋、面容）或裝置 PIN 碼來解鎖私鑰。由於私鑰永遠不會離開裝置，且生物辨識資料僅儲存在本地，即便 Google 的伺服器被駭，攻擊者拿到的公鑰也無法用來偽造身分，從根本上消除了釣魚網站盜取密碼的可能性。
多層防禦體系：2SV 與恢復機制
即便有了 Passkeys，實務上仍建議開啟 2-Step Verification（2SV，兩步驟驗證）。這是一種多因素驗證（Multi-Factor Authentication）的實作，要求使用者提供兩種不同類型的證明，例如「你知道的東西（密碼）」加上「你擁有的東西（手機驗證碼）」。
在安全工程中，單一防線被突破是常態，因此需要建立深度防禦（Defense in Depth）。當 Passkeys 因為裝置遺失或特殊情況失效時，2SV 能在帳號嘗試被冒用時提供最後一道屏障。
而針對帳號遺失（Account Lockout）的極端情況，Recovery Contacts（恢復聯絡人）提供了一種基於信任網路的恢復機制。這允許使用者指定最多十位信任對象，在無法透過傳統電子郵件或電話恢復時，由信任對象協助確認身分。這在實務上解決了單點故障（Single Point of Failure）的問題，避免使用者因為遺失唯一持有驗證裝置而永久失去帳號控制權。
降低攻擊面：集中化驗證與管理
許多開發者在設計系統時會面臨一個抉擇：是讓使用者自行設定密碼，還是整合第三方登入？Sign in with Google（使用 Google 登入）本質上是 OAuth 2.0 與 OpenID Connect 協議的應用。
從安全角度來看，這能有效縮小使用者的攻擊面（Attack Surface）。如果使用者在每個小網站都設定一套密碼，其中一個網站發生資料外洩，攻擊者會嘗試用同一組組合去攻擊其他平台（稱為 Credential Stuffing，憑證填充攻擊）。透過集中化驗證，使用者減少了需要管理的密碼數量，且能統一在 Google 帳號設定中撤銷對特定應用程式的授權。
對於那些尚未支持第三方登入或 Passkeys 的舊系統，Google Password Manager（密碼管理員）則扮演了緩衝角色。它透過自動生成高熵（High Entropy）的隨機密碼，避免使用者為了方便而設定簡單密碼，並在跨裝置間同步，確保即使在傳統密碼體系下，也能維持較高的安全性。
總結安全實務
對於工程師而言，理解這些工具不僅是為了個人帳號安全，更是為了學習如何設計安全的驗證流程。理想的安全體系應該是：優先推動 Passkeys 以消除密碼風險，輔以 2SV 建立多層防禦，利用 OAuth 減少憑證分散，並提供可靠的恢復機制以確保可用性。
來源：blog.google
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。