如何把SMS 2FA换成通行密钥（passkey）

为什么现在就要从SMS 2FA换成通行密钥？

SMS验证码可能在电话网络内部被截获，而通行密钥的设计可抵御钓鱼，大型服务商也在远离SMS：Microsoft将从2027年2月1日起对大多数工作和学校账户取消其SMS和语音电话验证码^[1][8]。

这种风险并非纸上谈兵。移动安全公司Enea在2026年11月11日报告称，一个新发现、被其称为SilentAir的行为者利用移动网络中的恶意位置更新请求截获短信和通话，在至少六个亚洲国家发现了与SilentAir相关的网络设备，部分目标在截获后立即收到了2FA验证码^[11]。完整经过见Pouyam指南Is SMS 2FA Safe? What the SilentAir Attacks Show。

官方指引也指向同一方向。美国网络安全和基础设施安全局（CISA）在2024年12月告诉高度被针对的个人：“不要使用SMS作为第二因素”，并将FIDO安全密钥和通行密钥排在身份验证器应用之上^[9]。美国标准机构NIST将SMS和语音电话验证码归为“受限”验证方式，服务应为其提供替代方案^[10]。

通行密钥的原理不同。它是一对加密密钥，保存在你的手机、电脑或安全密钥中，用面部、指纹或屏幕PIN解锁，FIDO Alliance称其可抵御钓鱼^[8]。没有需要读出或转发的验证码，Google也称通行密钥比密码“更能防范钓鱼”^[2]。如需并排比较所有方式，请看Two-Factor Authentication Explained: Which 2FA Method Is Safest?

如何把任意账户从SMS 2FA换成通行密钥？

每个账户的安全顺序都一样：确认是否支持通行密钥，创建通行密钥，添加第二种登录方式，保存备用码，然后删除作为第二步验证的手机号码并测试^[2][3][12]。跳过备用步骤是人们被锁在账户外最常见的原因。

1. 确认支持情况。打开账户的安全或登录设置，查找“Passkeys”。由1Password运营的社区目录passkeys.directory列出了提供通行密钥登录或将其作为第二因素的网站^[12]。
2. 创建通行密钥，在你最常用的设备上用面部、指纹或屏幕锁确认^[2][4]。
3. 添加备用方式。在另一台设备或硬件安全密钥上创建第二个通行密钥，或设置身份验证器应用。通行密钥可以在你的设备之间安全同步，也可以只绑定一台设备^[8]。
4. 保存恢复码（如果服务提供），并离线保存。例如，Google提供可打印的备用码，供手机丢失时使用^[3]。
5. 删除作为第二步的SMS。CISA建议在注册更强的方式后停用SMS，因为薄弱的后备途径会抵消安全收益^[9]。
6. 测试：在关闭设置页面之前，退出登录并用通行密钥重新登录。

有些服务即使在关闭SMS登录验证码后，仍会保留你的手机号用于账户恢复^[9]。这不是推迟切换的理由，但这是在可能时用运营商PIN或携号转网锁保护手机号码的理由。关于通行密钥的工作原理，请看What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer。

如何把Google账户换成通行密钥？

在Google账户的安全设置中创建通行密钥，然后打开2-Step Verification并自行删除手机号码，因为添加通行密钥不会更改或删除任何现有的登录或恢复方式^[2]。Google表示，在启用了2-Step Verification的账户上，用通行密钥登录会跳过第二步，因为通行密钥可确认你控制着该设备^[2]。

1. 进入Google账户，点按Security & sign-in，在How you sign in to Google下打开Passkeys and security keys来创建通行密钥^[2]。
2. 用指纹、面部扫描或屏幕锁确认。Google在Windows 10、macOS Ventura和ChromeOS 109或更高版本、Android 9和iOS 16或更高版本，以及FIDO2硬件安全密钥上支持通行密钥^[2]。
3. 在另一台设备上创建第二个通行密钥或添加安全密钥，避免只依赖一部手机。
4. 在Security中打开2-Step Verification。下载或打印备用码；Google将其描述为手机丢失时使用的8位验证码^[3]。
5. 删除登记为2-Step Verification方式的手机号码，或将其改为Google提示或身份验证器应用。

有两个细节很重要。第一，Google可能需要最多七天才会信任为2-Step Verification新添加的手机号码；受信任的通行密钥或安全密钥可以加快这一过程^[3]。Google还提醒只在属于你本人的设备上创建通行密钥，因为任何能解锁该设备的人都能登录^[2]。第二，在工作或学校的Google Workspace账户中，是否只用通行密钥登录由管理员决定；但你仍可创建通行密钥作为第二因素和恢复选项^[2]。

如何为Microsoft账户添加通行密钥？

登录account.live.com/proofs/manage上的Advanced Security Options（高级安全选项），选择Add a new way to sign in or verify（添加新的登录或验证方式），然后选择Face（面部）、Fingerprint（指纹）、PIN或Security Key（安全密钥）^[4]。此页面适用于个人Microsoft账户^[4]。

1. 在你想保存通行密钥的设备上打开account.live.com/proofs/manage并登录^[4]。
2. 选择Add a new way to sign in or verify（添加新的登录或验证方式）^[4]。
3. 选择Face（面部）、Fingerprint（指纹）、PIN或Security Key（安全密钥），并按提示操作^[4]。
4. 选择Continue或Create将通行密钥保存到建议位置，或选择Save another way（以其他方式保存）来选择手机或安全密钥^[4]。
5. 在删除任何内容之前，先设置身份验证器应用，Microsoft的无密码步骤依赖它^[5]。

Microsoft允许个人账户更进一步，去掉密码。在Additional security options（其他安全选项）下，选择Passwordless account（无密码账户）旁的Turn on（开启），然后在身份验证器应用中批准请求^[5]。Microsoft指出，开启两步验证时，你应能使用两种恢复方式^[5]。

要停止SMS验证码，请在同一安全区域查看证明身份的方式列表，并在通行密钥和应用都能正常使用后，删除作为登录方式的手机号码。Microsoft建议换手机时删除与旧设备绑定的方式^[5]。

Microsoft会在工作账户中取消SMS验证码吗？

会，针对Microsoft自己发送的验证码：从2027年2月1日起，Microsoft Entra ID（Microsoft面向组织的登录服务）中由Microsoft提供的SMS和语音验证将对除Global Administrators和外部用户以外的所有用户取消^[1]。这两类用户将于2027年7月1日跟进^[1]。

变化已经开始。自2026年9月1日起，通行密钥成为Entra ID中的默认验证方式，并为启用了SMS或语音电话的用户自动开启，这些用户在登录时会被提示注册通行密钥^[1]。Microsoft的页面称，SMS和语音电话“不再被定位为安全的验证方式”^[1]。

这对你意味着：

• 如果工作账户提示你设置通行密钥，请接受：Microsoft的计划是在用户登录并完成MFA时提示其注册通行密钥^[1]。只响应出现在正常Microsoft登录页面内的提示。
• 根据你所在组织的设置，通行密钥可以保存在Microsoft Authenticator、FIDO2安全密钥、Windows或可同步的凭据管理器中^[1]。
• 内部访客用户遵循2027年2月1日的日期，而不是较晚的日期^[1]。
• 关于允许哪些方式的问题，请咨询负责管理策略的IT部门。

切勿批准不是你本人发起的登录或通行密钥请求，也切勿通过意外收到的邮件或消息中的链接设置通行密钥。

我的Apple账户可以用通行密钥吗？

不能作为第二因素：Apple账户的双重认证使用六位数验证码，而Apple提供的抗钓鱼升级是实体FIDO安全密钥，而不是通行密钥^[7]。Apple关于此功能的页面没有提到通行密钥^[7]。

Apple对Security Keys for Apple Account的要求很明确^[7]：

• 至少两把FIDO Certified安全密钥；最多可添加六把^[7]。
• 每台登录你Apple账户的设备都需运行iOS 16.3、iPadOS 16.3或macOS Ventura 13.2或更高版本^[7]。
• 必须已开启双重认证^[7]。
• 不支持儿童账户和Managed Apple Accounts^[7]。

在iPhone上打开Settings，点按你的名字，然后依次进入Sign-in & Security、Two-Factor Authentication和Security Keys，并按步骤操作^[7]。Apple警告，设置期间不活跃的设备（超过90天未使用的设备）会被退出登录；如果丢失所有受信任设备和安全密钥，你可能会永久无法访问账户^[7]。如果删除所有安全密钥，账户会恢复为六位数验证码^[7]。

Apple称，安全密钥是为希望额外防范钓鱼或社会工程诈骗等定向攻击的人设计的^[7]。

如何设置WhatsApp通行密钥？

在WhatsApp中打开Settings，点按Account，然后依次点按Passkeys、Create passkey和Continue，并用屏幕锁确认^[6]。WhatsApp表示，与密码或SMS验证码不同，通行密钥受加密保护，只能通过你的实体设备以及你的生物识别数据或屏幕锁访问^[6]。

1. 在Android上，你需要Android 9或更高版本、屏幕锁，以及与手机关联的密码管理器账户，例如Google Password Manager或Samsung Password Manager^[6]。
2. 打开WhatsApp，点按菜单，然后点按Settings^[6]。
3. 依次点按Account、Passkeys、Create passkey，然后点按Continue^[6]。
4. 出现提示时，用指纹、面部或屏幕锁确认^[6]。

WhatsApp指出，创建通行密钥后如果重新安装应用，注册时可能会要求你使用它^[6]。要更换通行密钥，删除后在同一菜单中创建新的即可^[6]。

WhatsApp的页面没有说明通行密钥会在注册时取代SMS验证码，因此应将其视为额外的一层保护。也请保留两步验证PIN，这样即使有人劫持了你的号码，仍需要只有你知道的信息。

哪些账户支持用通行密钥代替SMS？

Google、Microsoft和WhatsApp将通行密钥作为比SMS验证码更强的选项，Apple账户则改用安全密钥，许多较小的服务仍只提供SMS或身份验证器应用^[2][4][6][7]。下表汇总了截至2026年11月15日各服务的设置位置。

支持情况经常变化；开始前请查看每项服务自己的安全页面。passkeys.directory目录列出了支持通行密钥登录或将其作为第二因素的服务^[12]。

优先处理能打开其他一切的账户：主邮箱、手机的云账户（Google或Apple）、密码管理器，以及银行和工作账户。一旦邮箱失守，攻击者就能重置你大部分其他密码。

如果账户不支持通行密钥怎么办？

用身份验证器应用代替SMS，并在应用正常工作后关闭作为后备方式的SMS^[9]。CISA将身份验证器应用排在FIDO密钥和通行密钥之下，因为其验证码仍可能被钓鱼窃取，但表示它们比未加密、一旦在运营商网络中被截获就可能被读取的SMS更好^[9]。通过电信信令进行截获，即Enea所描述的SilentAir手法^[11]，针对的是经电话网络发送的消息，而应用内生成的验证码并非如此。

• 选择能备份验证码或迁移到新手机的身份验证器应用，这样丢失手机也不会把你锁在外面。
• 把服务的恢复码保存在纸上。
• 切勿把验证码念给给你打电话或发消息的任何人，即使对方自称是服务的客服。
• 几个月后再检查一次：通行密钥支持正在快速普及，Microsoft在工作账户中弃用SMS也指明了方向^[1]。

如果银行或政府服务只提供SMS，你无法自行更改，但可以降低风险：用运营商PIN保护手机号码，对语音信箱PIN保密，并留意突然失去信号的情况，这可能是SIM卡被调换（SIM swap）的迹象。本文为一般性安全指引；各服务设置以其自身帮助页面为准。