使用 Galaxy S24 Ultra 的指纹传感器通过 Passkey（通行密钥）登录已变得习以为常，但一个基本问题常被忽视：如果手机损坏，是否意味着所有受保护账户的访问权限随之丧失？
Passkey 虽是密码的理想替代品，但其存储机制及设备丢失后的后果，很大程度上取决于所使用的 Passkey 提供商。
云端同步：手机损坏不等于密钥丢失
若在 Android 上创建 Passkey 并保存至 Google 密码管理器，凭证并非仅存储于单一设备。Google 会对 Passkey 进行加密并通过 Google 账户同步，使其在其他登录相同账户的设备上可用。
因此，手机损坏并不自动导致 Passkey 丢失。更换设备后，只要登录账户并通过旧手机的屏幕锁或 Google 密码管理器 PIN 码验证，即可恢复同步的凭证。
Apple 的 iCloud 钥匙串采用类似机制，在批准的 Apple 设备间同步 Passkey。恢复流程可通过 Apple 账户、受信任电话号码、设备密码或预设的恢复联系人完成。支持同步的第三方密码管理器也能提供同等冗余。明确 Passkey 的实际存储位置，可在设备意外损坏时避免不必要的恐慌。
需注意，网站本身无法恢复 Passkey。网站仅存储用于验证的公钥，私钥由 Passkey 提供商或设备保管。若私钥丢失且无法通过提供商恢复，网站通常无法重建，用户需通过其他账户恢复方法重新注册新的 Passkey。
硬件绑定：部分密钥随设备消亡
上述安心结论的前提是 Passkey 支持跨设备同步。若 Passkey 严格绑定到设备，则不会同步至其他终端。
FIDO 联盟将私钥保留在单个身份验证器上的凭证称为“设备绑定”，包括许多硬件安全密钥中的 Passkey。微软本地 Windows Hello 容器中的 Entra Passkey 亦属此类。若该设备是 Passkey 的唯一载体且丢失，凭证将永久消失。
此时，用户仍可通过其他注册的 Passkey、安全密钥、恢复代码或服务提供的流程恢复账户，随后创建新 Passkey。关键在于，各服务处理方式各异，单一 Passkey 设置并不意味着拥有通用的安全网。
QR 码登录也可能产生误导。跨设备身份验证虽允许计算机显示 QR 码并由附近手机批准，但 Google 等方案仍需手机在场、解锁并通过蓝牙通信。主板损坏的手机无法参与此过程。
对于关键账户，若服务允许，注册额外的身份验证器（如硬件安全密钥）是明智之举，这提供了不依赖单一手机的备用路径。
主动检查：拒绝将恢复交给运气
同步 Passkey 在手机丢失后提供了便捷的恢复途径，但不应让恢复过程处于模糊状态。核心原则是永远不要将账户恢复交给运气。在所有设备正常协同工作时，建议执行以下检查：
- 明确存储位置：确认 Passkey 存储在 Google 密码管理器、Apple 密码应用、第三方管理器，还是仅存在于单一身份验证器上。
- 确保提供商可恢复：密码管理器往往是数十个账户的入口，需提前仔细检查其恢复设置。
- 双重备份身份验证器：避免将所有鸡蛋放在一个篮子里。若服务支持，务必在另一个身份验证器上注册第二个 Passkey。
- 妥善保存紧急代码：将服务提供的备用代码或其他安全网信息存放在安全位置。
- 避免仅依赖短信：若同时失去手机号码访问权，短信验证将失效。在服务允许范围内，保持另一种独立的恢复方法，鉴于安全性考量，应逐步弃用基于短信的双因素认证。
重新获得账户访问权后，应及时移除丢失设备或其关联的 Passkey。例如，Google 允许用户审查已注册的 Passkey 并注销与自动创建的 Android 凭证关联的设备。
手机报废仅是风险的一半。更糟糕的情况是同时丢失手机、SIM 卡以及同步 Passkey 的账户访问权限。有效的备份策略应提供一条完全不依赖已丢失设备的恢复路线。