2026年5月，微软正式对外宣布：将停止为个人微软账户（MSA）发送短信验证码（SMS Codes），并将在 Windows 11 生态中全力推进通行密钥（Passkeys）的普及。 短信验证码作为曾经风靡全球的双重验证（2FA）与身份恢复的标准，正被微软无情地“判处死刑”。
LOADING...
2026年5月，微软正式对外宣布：将停止为个人微软账户（MSA）发送短信验证码（SMS Codes），并将在 Windows 11 生态中全力推进通行密钥（Passkeys）的普及。 短信验证码作为曾经风靡全球的双重验证（2FA）与身份恢复的标准，正被微软无情地“判处死刑”。
Microsoft 正在取消个人账户的短信登录码
你可能没有注意到，我们在网上登录账户的方式正在悄然发生一场颠覆性的革命。
2026年5月，微软正式对外宣布：将停止为个人微软账户（MSA）发送短信验证码（SMS Codes），并将在 Windows 11 生态中全力推进通行密钥（Passkeys）的普及。 短信验证码作为曾经风靡全球的双重验证（2FA）与身份恢复的标准，正被微软无情地“判处死刑”。
无独有偶，资深安全专家 Sylvain Kerkour 也在其技术专栏中大声疾呼：“传统密码太烂了，Passkeys 不是安全的未来，而是安全的现在。”
为什么强如微软这样的科技巨头要如此激进地消灭短信验证码？被寄予厚望的 Passkeys 究竟是什么原理？它真的能让我们彻底告别密码吗？
要理解 Passkeys 的伟大，首先得明白我们现有的安全防线有多么脆弱。
传统密码最大的痛点在于对抗网络钓鱼（Phishing）无能为力。无论你的密码设得多复杂（比如包含大写、小写、数字和特殊字符），只要你不小心在一个高仿的钓鱼网站（例如 www-mybank.com 代替 mybank.com）输入了它，这个密码就瞬间落入黑客之手。此外，键盘记录器（Keyloggers）、中间人攻击（MitM）以及频繁发生的企业数据库泄露，都让密码成为了信息安全事故的罪魁祸首。
Microsoft 在其官方公告中表示 ，“基于短信的认证现在已成为主要的欺诈来源。”
Microsoft 在其官方公告中表示 ，“基于短信的认证现在已成为主要的欺诈来源。”
为了弥补密码的缺陷，业界引入了基于短信的双重验证（2FA）。然而，短信在设计之初就从未考虑过现代网络安全需求。
微软官方在公告中明确指出：“基于短信的身份验证现在已成为欺诈行为的主要源头。” 这就是为什么微软宁愿承担部分用户的抱怨，也要激进地将其砍掉。
与传统密码或文本代码不同，通行密钥使用设备内置的生物识别硬件。
与传统密码或文本代码不同，通行密钥使用设备内置的生物识别硬件。
既然密码和短信都不靠谱，我们需要一种既具备极高密码学安全性，又不需要在网络上传输秘密的验证机制。
这正是 Passkeys（通行密钥） 的核心使命。
从市场营销角度看，它叫 Passkeys；从技术标准上看，它是基于 WebAuthn（Web Authentication） 协议的凭据。
Passkeys 的底层逻辑是现代密码学的基石——非对称加密（Asymmetric Cryptography）与数字签名（Digital Signatures）：
当你尝试登录一个支持 Passkeys 的网站时，过程不再是“比对密码”，而是进行一次密码学“对暗号”：
因为 Passkeys 与域名（Domain）是深度绑定的。 当你在浏览器中访问一个网站时，浏览器会自动检测当前域名的真实性。如果是钓鱼网站，由于域名不匹配，你的 Passkeys 管理器根本不会调用对应的私钥去签署挑战值。黑客在钓鱼页面上拿不到密码（因为根本没有密码），也拿不到可以重复使用的验证码。这种机制从根本上物理断绝了网络钓鱼的可能性。
在实际应用中，Passkeys 主要分为两大类：
跨设备登录的妙用：
Sylvain Kerkour 提到过一个极佳的使用场景：如果你在外度假，电脑和钱包都丢了，只剩下一部手机。你可以在任何一台不安全的公共电脑（如图书馆电脑）上登录你的核心账户。你只需要用手机扫描电脑屏幕上的 QR 码（二维码），通过手机上的生物识别，即可在电脑上安全登录，期间绝不会有任何凭据泄露给这台公共电脑。
尽管 Passkeys 在技术上近乎完美，但微软全面取消短信验证码、强推 Passkeys 的决定，依然在技术圈引发了不小的争议。
其核心问题在于极端边界情况（Edge Cases）下的技术脱节：
对于开发者、系统管理员和测试人员（如 Windows Insider 成员）来说，他们需要频繁地在 Windows 11 中克隆、配置和管理虚拟机（VM）。
在这些隔离的虚拟化环境中，物理生物识别硬件（红外摄像头、指纹识别器）是默认不存在或无法透传的。当微软强制要求使用 Passkeys 登录微软账户（MSA），而虚拟机又无法调用 Windows Hello 硬件，且本地 PIN 码登录频繁报错时，整个登录流就会彻底崩溃。
在过去，当所有先进技术手段失效时，“输入发到手机上的 6 位数短信”是最后的、绝对通用的降维救命稻草。而现在，微软将其一刀切地移除，取而代之的是强制要求用户绑定“验证器 App（Authenticator）”和“经认证的备用电子邮箱”。一旦用户同时失去这些手段，账户恢复的门槛将大幅提高。
对于技术专家和开发者而言，Passkeys 并不是一劳永逸的魔法，它同样需要面对技术迭代。
目前的 Passkeys 广泛采用 Ed25519 或 ECDSA (ES256) 签名算法。它们在传统计算机面前牢不可破，但面对未来的“密码学相关量子计算机（CRQC）”，基于离散对数和椭圆曲线的算法将会失效。
好在 NIST（美国国家标准与技术研究院）已于 2024 年发布了抗量子数字签名标准（如 ML-DSA）。FIDO 联盟和 W3C 目前正在积极制定抗量子版的 WebAuthn 标准。未来，软件形态的 Passkeys 只需通过软件更新和密钥轮转（Rotation）即可平滑过渡，但老旧的硬件安全密钥可能需要面临物理更换。
许多网站在推行 Passkeys 时犯了一个致命错误：让密码和 Passkeys 并存。只要数据库里还留着用户的传统密码，黑客就可以继续通过钓鱼或撞库来攻击该账户，这让 Passkeys 沦为了摆设。
Sylvain Kerkour 建议开发者采取更彻底的激进转型策略：
在这些高度技术化、边缘化的场景中，要求短信验证码是最终且万无一失的备选方案。它就是这样运作了。
在这些高度技术化、边缘化的场景中，要求短信验证码是最终且万无一失的备选方案。它就是这样运作了。
微软在 Windows 11 中对短信验证码的“绝杀”，是一场为了全体网络社会利益而进行的硬着陆。虽然短时间内，它会给习惯了 6 位数验证码的普通用户以及依赖虚拟机的极客带来阵痛，但它指明了无法逆转的未来。
告别脆弱的明文短信，拥抱基于现代密码学的 Passkeys，这不仅是微软生态的一次升级，更是我们数字生活防线的一次关键进化。
参考文章1【Microsoft is killing SMS codes for Microsoft account sign-in, aggressively pushes passkeys on Windows 11】：https://www.windowslatest.com/2026/05/19/microsoft-is-killing-sms-codes-for-microsoft-account-sign-in-aggressively-pushes-passkeys-on-windows-11/
参考文章2【Passwords suck. Can passkeys replace them?】：https://kerkour.com/passkeys
来源文章【再见，短信验证码！微软强推 Passkey 背后的技术演进与安全革命】：https://news.zyhorg.cn/articles/microsoft-is-killing-sms-codes-for-microsoft-account-sign-in-aggressively-pushes-passkeys-on-windows-11
同步发布于
阿里云开发者社区：https://developer.aliyun.com/article/1736144
腾讯云开发者社区：https://cloud.tencent.com/developer/article/2672329
CSDN开发者社区：https://blog.csdn.net/hdheh554694/article/details/161310261
评论