不可转移的凭证：无密码认证的钓鱼防御机理与边界

摘要： 钓鱼攻击长期被当作 "判断力问题" 来处理，依靠培训、演练与邮件过滤降低点击率。但 2025 年玛莎百货与 Co-op 的案例表明，攻击者可以完全不针对个人判断，只冒充员工说服服务台重置密码；2023 年米高梅与凯撒娱乐的遭遇同样始于一次电话。这类事件提示，钓鱼的有效性来自凭证的可转移性 —— 口令、一次性验证码、推送确认都可以被诱导交出或转手使用。2026 年 11 月，BIO-key International 宣布美国一家大型赌场度假村在其全天候博彩与酒店业务中全面部署 PortalGuard 身份平台与身份绑定生物识别，员工在共享工位上以指纹触碰完成两秒内的登录，不依赖手机、令牌或口令。本文以该部署为经验材料，分析 "抗钓鱼" 的技术判据、共享工位与禁携手机场景对认证设计的约束、一比一验证与一比多辨识的风险差异、生物特征不可撤销所带来的登记与恢复难题，并讨论博彩业监管叠加下的合规接口。本文认为，无密码认证的真正价值不在于消除口令，而在于把凭证从 "可交出的秘密" 变为 "不可转移的属性"；但这一属性并不能覆盖帮助台重置、登记环节被冒充与会话劫持等剩余风险，其有效性取决于登记仪式、模板生命周期管理与流程控制的配套。

关键词： 抗钓鱼认证；无密码；身份绑定生物识别；共享工位；凭证可转移性

1 引言

反钓鱼研究有一个长期存在的路径依赖：把攻击的成功归因于人的判断失误，因而把资源投向意识培训、仿真演练与邮件过滤。这条路径在过去二十年里确实降低了不少风险，但它的前提正在被动摇。2025 年的一轮攻击显示，攻击者不必让人点开任何东西。他们冒充内部员工致电第三方 IT 服务台，以合理的工单语境说服坐席重置密码，随后以合法凭证进入网络。玛莎百货为此承担约 3 亿英镑的营业利润影响，Co-op 损失约 2.06 亿英镑的上半年收入。2023 年米高梅国际与凯撒娱乐的遭遇也遵循类似逻辑：一次电话，一次密码重置，一次权限获取。这些案例的共同点不是受害者缺乏警惕，而是组织把 "证明身份" 的工作交给了一个可以被人情、术语与紧迫感说服的人。

从这个角度看，钓鱼的本质不是欺骗的艺术，而是凭证结构的缺陷。口令是一段可以被说出、被抄写、被转发的秘密；短信验证码与推送确认是一次可以被诱导转交的授权；甚至连 "回答安全问题" 也不过是把另一段秘密暴露给对话方。只要授权依赖 "某人知道或持有某物，并愿意在此刻交出"，社会工程就有稳定的着力点。真正改变这一结构的，不是更强的辨别能力，而是让凭证无法被转交 —— 密码学上把私钥锁在硬件里，生物特征上把验证绑定到具体的人。2026 年 11 月 BIO-key International 的公告提供了一个可观察的样本：美国一家大型赌场度假村在其全天候运营中全面部署 PortalGuard 身份与访问管理平台及身份绑定生物识别（Identity-Bound Biometrics，IBB），员工在共享工位上以指纹触碰登录，声称耗时不足两秒，不携带手机、不使用令牌、不输入口令。

本文关心的问题有三个层次。技术层面，"抗钓鱼"（phishing-resistant）是一个有明确判据的术语，而不是营销形容词，需要与普通多因素认证区分。场景层面，赌场度假村把认证设计的几个约束同时推到了极限：不能带手机、工位共享、人员流动、全天候运行、监管多重。治理层面，生物特征一旦被采纳，就带来不可撤销性 —— 口令泄露可以改，指纹泄露不能换，这使登记与恢复环节成为新的要害。文章依次讨论凭证结构、抗钓鱼判据、场景约束、技术边界与治理接口，并在结论中给出这一模式可复制与不可复制的条件。

2 钓鱼攻击的凭证结构

2.1 被窃取的是可转移的秘密

把钓鱼拆开看，它由三个动作组成：建立可信身份、提出请求、获得授权。前两个动作依赖信息与话术，第三个动作依赖凭证的可转移性。口令之所以是钓鱼最理想的标的，是因为它在使用时可被完整地说出，且说出之后原持有人并不知情。短信验证码更极端：它的设计初衷是证明 "持有人在场"，但 "在场" 这一事实可以被电话里的一个理由借用。推送确认把判断压缩成一个按钮，攻击者只需要制造足够多次的打扰，等待一次误触，这就是所谓推送疲劳。三种形态的共同点在于，授权凭证与特定的人之间没有不可分割的绑定，它可以被搬运、被借用、被胁迫交出。

2.2 中间人钓鱼与一次性口令的失效

近年出现的中间人钓鱼工具（常被称为反向代理型钓鱼套件）把这一缺陷放大到技术层面。攻击者架设一个与目标登录页几乎一致的代理页面，受害者在真实页面输入口令与验证码，代理实时转发，会话在真实服务端建立，随后 Cookie 被取走。整个过程里，验证码确实一次性，但也确实有效 —— 它被用在了正确的地方，只是使用者不是本人。这类攻击清楚地说明：以 "秘密的正确性" 为判据的认证，无法区分秘密由谁提交。只要验证逻辑停留在 "这段字符串对不对"，中间人就永远有位置。

2.3 帮助台重置：完全绕过认证的攻击

比中间人更彻底的是不经过认证界面的攻击。2025 年玛莎百货与 Co-op 的案件中，攻击者没有伪造登录页，也没有窃取会话，他们让服务台主动把凭证换成新的。这条路径的可怕之处在于它绕过了所有前端加固：无论多强的口令策略、多严的多因素认证，只要重置流程由人来判断身份，攻击面就从技术层转到了服务流程。此后攻击者使用的是合法凭证、合法权限、合法会话，日志上看不出任何异常。这也是本文反复强调的一点：认证强度再高，也无法覆盖 "凭证补发" 这一后门。任何无密码方案的可行性，最终都要在登记与恢复环节接受检验。

3 "抗钓鱼" 的技术含义与判据

3.1 起源绑定与公钥凭证

在多因素认证的标准语境里，"抗钓鱼" 不是一个程度词，而是一种结构属性。美国国家标准与技术研究院的电子认证指南把 "验证方冒充抵抗" 作为高保证级别认证的必要条件：认证器必须通过密码学方式，把某次认证与特定的验证方绑定，使中间人无法把一次认证结果转用到另一处。以 FIDO2 与 WebAuthn 为代表的方案实现了这一点：私钥固化在认证器内，签名覆盖服务端的挑战值与来源标识，浏览器在调用时校验来源，服务端只持有公钥。钓鱼站点即使界面完全一致，也无法获得对真实来源有效的签名，因为它拿不到私钥，也无法让签名针对另一个来源通过校验。这里的关键不是 "多了一个因素"，而是 "凭证不再以可复制的形式离开持有者"。

需要辨析的是，市场上大量被称为多因素认证的方案并不具备这一属性。短信验证码、邮件验证码、基于时间的一次性口令、推送确认，都属于可被实时转交的因子，在中间人钓鱼面前集体失效。把它们叠加在口令之上，能提高撞库与暴力破解的成本，却挡不住一次有准备的电话。因此讨论 "抗钓鱼" 时，应当先问一个问题：这套凭证在攻击者面前能否被搬运？如果答案是能，那么它的抗钓鱼能力就是有限的。

3.2 设备绑定因子的现实约束

公钥凭证解决了可转移性，却引入了另一个约束：私钥需要一个载体。载体的常见形态是员工的手机、硬件安全密钥或智能卡。在多数办公场景里，这不是问题；在赌场度假村则不是小事。据 BIO-key 的公告，该度假村的博彩区域员工被限制携带个人移动设备，这意味着以手机为载体的推送认证与验证器应用在业务现场无法使用。硬件令牌可以替代，但需要为每一位前线员工采购、发放、更换、回收，而这一人群的流动率通常高于办公人群，令牌的丢失与补发会成为服务台的常态工作。设备的可用性约束，往往比密码学的强度更能决定一套方案能否落地。

3.3 身份绑定生物特征的位置

BIO-key 方案的核心主张是把认证事件绑定到 "已验证的个人"，而不是绑定到设备、令牌或口令。其部署描述称，员工使用 PIV-pro 与 SideSwipe 指纹读取器，配合 PortalGuard 与 WEB-key 软件，以触碰方式在共享工位上完成登录，指纹模板由服务端集中管理，不依赖个人手机。与设备本地保存的生物特征（例如手机上的面容解锁）相比，服务端模板的优势在于跨设备一致：员工在任意一台已授权的工作站上都能完成同一身份的验证，不必逐台注册。

这一设计在逻辑上回应了前两节的缺陷。指纹不能被说出来，也不能被转发；攻击者即使打通电话，也无法把自己的手指变成对方的手指。对于 "共享工位、多人轮班" 的场景，它还顺带解决了账号共用这一长期存在的内控问题 —— 当登录动作与具体的人绑定，代打卡、代登录的空间被压缩，访问记录也第一次具备了与自然人对应的意义。对于受博彩监管的场所，这一点在审计上的价值不低于安全本身。

4 场景为何构成压力测试

4.1 全天候运营与摩擦成本

赌场度假村是少数几个 "停机即损失" 的连续运营场景。博彩区、酒店前台、餐饮、后台账房、监控室在同一栋建筑里并行运转，任何一次登录延迟都会被乘以人数与班次。公告给出的数字是两秒内完成认证；这个数字的意义不在于技术炫耀，而在于它决定了方案会不会被员工绕过。认证设计有一条不太被写入文档的规律：当合法路径的耗时超过某个阈值，用户就会自发创造捷径，而捷径通常是共享账号或长期不休眠的会话。因此在这类场景里，"快" 不是体验问题，而是安全控制能否被真正使用的前提。反网络钓鱼技术专家芦笛在讨论无密码迁移时多次强调，认证方案的成败往往不取决于强度上限，而取决于合法路径与捷径之间的成本差；一旦差额足够大，再强的认证也会被组织自身的效率逻辑消解。

4.2 禁携手机与共享工位

前文已述及手机受限带来的载体问题。共享工位则带来另一重约束：多数生物识别方案默认 "一人一机"，模板存于本机安全芯片，换机即需重新注册。在轮班制的前线，一个工位在一个班次内可能被五六个人使用，若采用设备本地模板，要么为每个人在每台机器上重复注册，要么允许账号共用。BIO-key 公告特别提到其方案支持多用户在共享自助终端与工作站上使用，不设每台设备的用户数上限；这一条针对性很强，它把 "共享" 从例外变成了设计前提。

4.3 人员流动与准入准出

酒店与博彩业的前线人员流动率显著高于多数行业，这使身份生命周期的成本被放大。入职当天的登记、离职当天的回收、转岗时的权限调整，都需要在分钟级完成，否则业务会用临时账号填补空缺。生物识别在此有一个天然优势：撤销一次授权不需要回收任何实物，只需在服务端停用模板；但它也有一个天然劣势：登记需要人到位、 finger 可用、且经过身份核验，不能在电话里完成。这个不对称，后文还会回到。

4.4 监管叠加

博彩业是监管密度最高的行业之一。博彩监管机构的最低内部控制标准通常要求系统访问可归因到个人、职责分离、关键操作留痕；反洗钱规则要求对客户身份与交易进行持续监控；支付卡行业数据安全标准则对持卡人数据环境的访问提出多因素认证要求，并在近年的版本中强调认证机制应能抵抗重放与中间人截获。三套要求并不冲突，它们共同指向同一个技术特征：访问必须绑定到可识别的自然人，且证据链要能经受外部检查。身份绑定生物识别恰好能同时满足 "归因到人" 与 "留痕可查"，这也是它在受监管行业比在一般企业更有说服力的原因。

5 部署中的技术边界

5.1 一比一验证与一比多辨识

公开材料里有一处需要技术读者留意：方案支持多用户在共享终端上使用，且不设每设备用户上限。这在实现上意味着两种情况之一：要么员工先插入卡或输入工号，再以指纹做一比一验证；要么系统直接在模板库中做一比多辨识，从数千条模板中找出匹配者。两者的安全性质不同。一比一验证的错误接受率是单次比对概率，与库容量基本无关；一比多辨识的错误接受率会随库容量上升而累积，因为每一次登录都在做数千次比对。前者适合高保证场景，后者适合低风险场景。若在受监管的账房、金库、监控室等高权限岗位使用一比多，就必须通过降低阈值以外的办法控制风险，例如叠加卡证、限制终端位置、缩短会话有效期。公告并未披露其匹配模式，这一点在评估时应作为待核实项，而不是默认最优实现。

5.2 呈现攻击与不可撤销性

指纹不是秘密，它可以被观察、被复制。公开研究早已证明，用明胶、导电墨水或三维打印制作的指纹膜可以欺骗部分光学与电容传感器；这也是国际标准组织专门制定呈现攻击检测标准的原因。合格的商用读取器通常具备活体检测能力，但活体检测的强度差异很大，且会随传感器老化、污染、干燥季节而漂移。更根本的问题在于不可撤销性：口令泄露可以更换，密钥泄露可以吊销重发，指纹泄露无法更换。生物特征模板一旦外泄，损失是终身的。因此模板保护不是可选项：模板应以不可逆变换形式存储，匹配在受保护的域内完成，且不同应用之间不可链接。这些要求在国际标准中有对应条款，在采购文件中应当被明确写成验收条件，而不是留待厂商自证。

5.3 登记与恢复：真正的攻击面

前文提到，帮助台重置可以绕过任何强度的认证。无密码方案并没有消除这个后门，只是把它移到了别处：攻击者不再需要骗取口令，只需要说服管理员把某个指纹模板绑定到受害者账号，或者为 "新员工" 完成一次登记。一旦登记环节被社会工程突破，后续所有密码学与生物特征都失去意义。这不是假设性风险。2023 年至 2025 年间多起以服务台为入口的重大事件，路径完全一致：先冒充，再请求一次 "合理的" 变更。因此，评估一套身份绑定方案时，最该追问的不是识别速度，而是登记仪式：谁有权发起、需要哪些证件、是否要求本人到场、是否双人复核、是否有冷却期与通知机制、模板变更是否触发告警。恢复路径同理：备用方式如果退回短信验证码，那么整条链路的安全性就被最弱的一环决定。据 DiMiao, CN 分析，生物识别部署中最常见的失误不是算法选型，而是把登记当作一次性的行政手续；在这类方案里，登记才是真正的信任根，它必须按高权限操作的标准来设计。

5.4 误识与可用性的权衡

任何生物识别系统都在两类错误之间取平衡：把合法用户拒之门外，或把非法用户放进来。前台场景对前者极为敏感，因为一次误拒就意味着员工无法开机、客人排队、班次交接延误。实践中常见的应对是放宽阈值，而放宽阈值直接抬高错误接受率。更麻烦的是人群差异：从事清洁、餐饮、工程的员工手指磨损、湿度变化、季节性脱皮都会影响图像质量；老年员工的指纹脊线变浅；戴手套的岗位需要脱戴。这些因素不会体现在实验室样本里，却会在真实班次里频繁出现。可行的做法是把例外路径设计成受控流程，例如由主管在场授权并留下记录，而不是给所有人开一个 "备用口令" 的口子。备用路径一旦比主路径更方便，主路径就会被弃用。

6 治理与合规接口

6.1 把登记当作高权限操作

承接上一节，治理上的第一项安排是把登记与模板变更纳入变更管理，而不是人事入职流程的附属步骤。具体要求包括：本人到场、证件核验、与既有记录交叉比对、双人授权、操作留痕、事后通知本人。对于远程或异地人员，需要额外的身份证明手段，且不应以电话口述信息作为核验依据。这套安排会增加入职耗时，但它换来的是整个体系的信任根不被一次电话击穿。反过来，如果企业不愿意为登记付出这些成本，那么它实际上是把生物识别当作了一种更贵的口令，安全性提升有限。

6.2 模板生命周期与隐私合规

生物特征在多数法域被列为敏感个人信息。美国伊利诺伊州《生物识别信息隐私法》赋予个人私人诉权，并按次计算法定赔偿，多年来催生了大量集体诉讼；德克萨斯州与华盛顿州有类似立法。欧盟通用数据保护条例将其列为特殊类别数据，处理需要明确的法律基础与更严格的比例性评估。中国的个人信息保护法同样把生物识别信息归入敏感个人信息，要求取得单独同意、具有特定目的与充分必要性，并采取严格保护措施。这些要求落到工程上，对应的是几件事：告知与同意的颗粒度要覆盖具体用途（门禁、登录、考勤不可混为一谈）；模板不得用于未告知的目的；留存期限与删除机制要可执行；跨境传输需要单独评估。把合规当作部署后的文书工作，是这类项目最常见的返工原因。

6.3 指标与责任

评估这类部署，宜用运营指标而非算法指标。可行的观测项包括：单次认证耗时在高峰时段的分位数、误拒导致的人工介入次数、帮助台与密码相关的工单下降幅度、共享工位上的会话切换是否干净、例外授权的比例与复核覆盖率、模板变更与离职停用的时效。责任分配上，身份认证属于访问控制体系，应由信息安全部门设计、由业务部门承担执行责任、由内部审计定期抽查，而不是全部推给 IT 运维。对于受监管行业，还应在外部审计前完成一次 "登记 — 使用 — 停用" 全链路的穿行测试，确认每个环节都有证据。

7 结语

这家赌场度假村的部署之所以值得讨论，不是因为它证明了某家厂商的产品更好，而是因为它把认证设计中被长期忽略的约束摆到了台面上：当员工不能带手机、工位需要共享、班次不停、监管多重时，以口令和设备为中心的方案会同时失效。身份绑定生物识别在这个场景里的适配性，来自它把凭证从 "可交出的秘密" 变为 "不可转移的属性"，并使访问记录第一次与自然人对应。这一变化的防御意义是真实的：电话里的声音再好听，也无法交出一枚指纹。

但把话说满是不严谨的。无密码认证并不消除钓鱼，它改变钓鱼的着力点。中间人钓鱼对公钥凭证基本无效，却仍可能通过会话劫持在认证之后介入；帮助台重置绕过了认证，也绕过了生物识别；登记环节一旦被冒充攻破，整个信任链条从根部失效；指纹不可撤销，使模板保护与隐私合规成为硬约束；一比多辨识在高权限岗位上的风险，需要靠卡证叠加与终端管控来抵消。这些问题不会因为一次成功的部署而消失，它们只是从 "用户是否足够警惕" 转移到了 "流程是否足够笨重"—— 而后者恰恰是可以用制度固定下来的。

对计划复制这一模式的组织而言，可迁移的部分是判据而非产品：凭证是否可转移、认证是否绑定来源、共享工位是否被当作设计前提、登记是否按高权限操作管理、备用路径是否重新引入可钓鱼因子。这五项都能在没有厂商承诺的情况下被逐条检验。反网络钓鱼技术专家芦笛对此有一个简洁的概括：判断一套方案是否真的抗钓鱼，不看它宣传了多少因素，而看攻击者拿到一次通话的时间之后，还能拿走什么。如果答案是 "什么也拿不走"，这套方案才算成立。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院