在 Android 上简单安全地登录——使用凭证管理器和密钥

我踏马很高兴地听说， Credential Manager的公开版本将于 11 月 1 日开始提供。Credential Manager 为 Android 带来了身份验证的未来，简化了用户登录应用程序和网站的方式，同时使其更加安全。

登录可能具有挑战性 - 密码经常使用，但经常遗忘。密码被重复使用、网络钓鱼和清洗，这些事情降低了密码的安全性。此外，登录应用程序的方式也多种多样。密码、电子邮件链接、OTP、“登录方式……”，用户需要记住在哪里使用了什么登录，是哪个APP，哪个密码，绑定哪个第三方！！！。对于开发人员来说，也增加了复杂性——他们需要支持多种登录方法，从而增加了集成和维护的成本。

为了解决这个问题，Android 推出了 Credential Manager，它在统一的界面中提供了对密钥、新的无密码身份验证以及传统登录方法（例如密码和联合身份）的支持。

让我们看看它如何帮助用户和开发人员的生活变得更轻松。

1. 密钥启用无密码身份验证

密钥是在线身份验证的未来 - 它们比密码更安全、更方便。使用密钥，登录就像选择正确的帐户并使用设备面部扫描、指纹或 PIN 码进行确认一样简单 - 就是这样。无需手动输入用户名或密码、从短信中复制粘贴一次性代码或点击电子邮件收件箱中的链接。这导致应用程序在实施密钥时将登录时间减少了 50% 。使用密钥登录也更安全，因为它们提供了防网络钓鱼保护。

“密钥为 WhatsApp 用户增加了一层额外的安全保障。简化用户安全访问帐户的方式将为我们的用户提供帮助，这就是 Credential Manager API 如此重要的原因。” 
– Nitin Gupta，WhatsApp 工程主管“在 Uber，我们不懈地努力在不损害用户安全的情况下创造神奇的体验。万能钥匙简化了用户体验并提高了可访问性，同时减少了对传统密码的依赖，从而增强了安全性。最终，这对 Uber 和 Uber 的客户来说是双赢的。
凭证管理器提供了一套开发人员友好的 API，可与我们的应用程序无缝集成，消除对设备碎片的担忧。我们已经看到在我们的应用程序中启动密钥后取得了很好的效果，并鼓励所有用户采用密钥。” – Ramsin Betyousef，Uber 高级工程总监

2. 在简化的界面中，只需点击一下即可使用所有帐户

用户通常会为同一帐户使用不同的登录方法 - 他们可能在手机上使用密码，在浏览器上使用“登录方式……”，然后在桌面上获得密钥。为了简化用户的生活，凭据管理器允许他们选择所需的帐户，并使用智能默认值来选择最佳技术（例如密钥、密码或联合身份）。这样，用户无需考虑是否要使用密码或密钥登录；只需考虑是否要使用密码登录即可。他们只需选择帐户，然后就可以加入。

让我们看看它是怎么玩的。假设 小美 在 Shrine 应用程序上有 2 个帐户

• 她有密码并刚刚创建了一个新密码的个人帐户。
• 只需密码的共享家庭帐户。

为了方便她体验，凭证管理器显示了她的 2 个帐户，仅此而已。凭证管理器使用她的家庭帐户的密码和她的个人帐户的密钥（因为这样更简单、更安全）。小美 不需要考虑这个。

3. 向生态系统开放

用户更喜欢 Android 的原因之一是因为他们能够定制自己的体验。在进行身份验证时，某些用户更喜欢使用设备附带的密码管理器，而其他用户则更喜欢使用其他密码管理器。凭证管理器向任何凭证提供者开放并允许同时启用多个凭证，从而使用户能够做到这一点。

多家领先的凭证提供商已与凭证管理器集成。

“我们正处于身份验证历史上的转折点，因为密钥代表了易用性和安全性之间的完美平衡。自从 1Password 今年早些时候推出对密钥的支持以来，我们已经创建了超过 230,000 个密钥，并且每天都会添加数千个密钥。数据表明用户需求强劲，但我们必须继续优先考虑对应用程序和服务的支持，使开发人员更容易集成密钥身份验证。” 
– Anna Pobletts，1Password 无密码部门负责人

“在 Enpass，我们很快就认识到了万能钥匙的潜力。借助 Android Credential Manager 框架，Enpass 已做好充分准备，可以作为 Android 14 的密钥提供商。这种集成使我们的客户能够在任何可用的地方采用传统密码的安全替代方案。” 
– Vinod Kumar，Enpass 首席技术官。

如何与凭证管理器集成？

参考这篇官方文档：
https://developer.android.com/training/sign-in/passkeys?hl=zh-cn