作者 / 開發(fā)者關(guān)系工程師 Niharika Arora

X 是一款社交媒體應(yīng)用，涵蓋各類時(shí)事內(nèi)容，旨在幫助全球近 5 億用戶通過實(shí)時(shí)評(píng)述了解事件始末。最近，X 開發(fā)者改進(jìn)了 Android 應(yīng)用的登錄流程，以便用戶不會(huì)錯(cuò)過他們感興趣的討論。通過使用 Credential Manager API，團(tuán)隊(duì)實(shí)施了新的通行密鑰身份驗(yàn)證，以便用戶更快捷、更輕松、更安全地訪問應(yīng)用。

X

https://play.google.com/store/apps/details？id=com.twitter.android&hl=en_US

Credential Manager API

https://developer.android.google.cn/identity/sign-in/credential-manager

通行密鑰

https://developer.android.google.cn/design/ui/mobile/guides/patterns/passkeys

使用通行密鑰簡(jiǎn)化登錄流程

如今，基于密碼的傳統(tǒng)身份驗(yàn)證系統(tǒng)安全性較低，而且更容易受到網(wǎng)絡(luò)攻擊。許多用戶通常會(huì)選擇易于猜測(cè)的密碼，導(dǎo)致不法分子可以輕松暴力破解這些密碼。用戶還會(huì)在多個(gè)帳號(hào)中重復(fù)使用相同的密碼，這意味著如果一個(gè)密碼被黑客破解，所有帳號(hào)都會(huì)受到影響。

通行密鑰完全摒棄了密碼，解決了因弱密碼和網(wǎng)絡(luò)釣魚攻擊而日益增長(zhǎng)的賬戶安全問題。該功能提供了更安全、更順暢的登錄體驗(yàn)，讓用戶無需記住自己的用戶名或密碼。

“通行密鑰利用 PIN 碼或指紋、面部識(shí)別等生物識(shí)別數(shù)據(jù)取代密碼，是一種更簡(jiǎn)單、更安全的登錄方式?！?X 安全主管 Kylie McRoberts 表示。“我們探索了如何使用通行密鑰為用戶提供更輕松、更安全的登錄體驗(yàn)，從而在幫助用戶保護(hù)帳號(hào)安全的同時(shí)，還省去了記住密碼的麻煩。”

自 X 團(tuán)隊(duì)實(shí)施通行密鑰以來，登錄時(shí)間大幅縮短，各項(xiàng)指標(biāo)也表明登錄流程有所改善。使用通行密鑰，應(yīng)用的登錄成功率比僅依靠密碼提高了一倍。團(tuán)隊(duì)還發(fā)現(xiàn)，啟用通行密鑰的用戶提出的密碼重置請(qǐng)求也有所減少。

據(jù) X 開發(fā)者表示，采用通行密鑰帶來的好處不止是提高安全性和簡(jiǎn)化登錄體驗(yàn)，還有降低成本和改善用戶體驗(yàn)等。

Kylie 表示： “通行密鑰提供了強(qiáng)大的固有身份驗(yàn)證能力，幫助我們降低了基于短信的雙重身份驗(yàn)證相關(guān)成本。并且借助輕松登錄這一優(yōu)勢(shì)，用戶更愿意使用我們的平臺(tái)，因?yàn)檫@減少了記住或重置密碼的阻礙?！?/p>

通行密鑰依靠公鑰加密對(duì)用戶進(jìn)行身份驗(yàn)證并為他們提供私鑰。這意味著網(wǎng)站和應(yīng)用可以查看和存儲(chǔ)公鑰，但不能獲取由用戶的憑證提供程序加密和存儲(chǔ)的私鑰。由于密鑰是唯一的，并且與網(wǎng)站或應(yīng)用相關(guān)聯(lián)，因此不易受網(wǎng)絡(luò)釣魚攻擊，從而進(jìn)一步增強(qiáng)了安全性。

使用 Credential Manager API

進(jìn)行無縫集成

為了集成通行密鑰，X 開發(fā)者使用了 Android 的 Credential Manager API，據(jù) Kylie 表示，這使得整個(gè)過程 “非常順暢”。該 API 將 Smart Lock、One Tap 和 Google Sign-In 整合為一個(gè)單一、簡(jiǎn)化的工作流程。這也使開發(fā)者能夠刪除數(shù)百行代碼，從而提高實(shí)現(xiàn)效率并減少維護(hù)開銷。

最后，X 開發(fā)者遷移到 Credential Manager 僅用了兩周的時(shí)間，然后用了兩周時(shí)間完全支持通行密鑰。X 資深工程師 Saurabh Arora 表示，這是一次 “非?？焖俚倪w移”，團(tuán)隊(duì) “沒想到會(huì)如此簡(jiǎn)單直接”。得益于 Credential Manager 使用簡(jiǎn)單且基于協(xié)程的 API，處理多種身份驗(yàn)證選項(xiàng)的復(fù)雜性基本上得以消除，代碼數(shù)量、出現(xiàn)錯(cuò)誤的可能性以及整體的開發(fā)者工作量也得以減少。

X 開發(fā)者通過集成 Credential Manager API 顯著提升了開發(fā)效率。借助 Credential Manager API 轉(zhuǎn)向采用通行密鑰，他們實(shí)現(xiàn)了：

身份驗(yàn)證模塊的代碼減少 80%

解決了 90% 的遺留邊緣案例錯(cuò)誤

GIS、One Tap 和 Smart Lock 需要處理的代碼減少 85%

使用 Credential Manager API 的最佳方法 （如 createCredential 和 getCredential），通過消除與各個(gè)協(xié)議相關(guān)的自定義邏輯復(fù)雜性，簡(jiǎn)化了集成過程。這種統(tǒng)一的方法還意味著 X 開發(fā)者可以使用單一且一致的接口來處理各種身份驗(yàn)證類型，例如通行密鑰、密碼和聯(lián)合登錄 （如使用 Google 帳號(hào)登錄）。

“使用 Credential Manager 簡(jiǎn)單的 API 方法，我們只需一次調(diào)用即可檢索通行密鑰、密碼和聯(lián)合令牌，從而減少分支邏輯并使響應(yīng)處理更清晰?！?Saurabh 表示?！笆褂貌煌?API 方法 （如 createCredential（） 和 getCredential（） 也簡(jiǎn)化了憑據(jù)存儲(chǔ)，讓我們?cè)谕晃恢眉纯商幚砻艽a和通行密鑰?！?/p>

X 開發(fā)者在使用 Credential Manager API 實(shí)施 “通過 Google 帳號(hào)登錄” 方法時(shí)沒有遇到太多挑戰(zhàn)。用更簡(jiǎn)單的 Credential Manager 實(shí)現(xiàn)取代 X 之前的 Google Sign In、One Tap 和 Smart Lock 代碼，意味著開發(fā)者不再需要處理連接或斷開狀態(tài)以及活動(dòng)結(jié)果，從而降低了錯(cuò)誤率。

通行密鑰的未來

X 集成通行密鑰的做法表明，實(shí)現(xiàn)更安全、更友好的身份驗(yàn)證體驗(yàn)是可行的。通過 Credential Manager API，X 開發(fā)者簡(jiǎn)化了集成流程，減少了潛在的錯(cuò)誤，并提高了安全性和開發(fā)速度，同時(shí)改善了用戶體驗(yàn)。

“對(duì)于考慮集成通行密鑰的開發(fā)者，我們的建議是利用 Credential Manager API?！?Saurabh 表示?！按?API 確實(shí)簡(jiǎn)化了流程，并減少了您需要編寫和維護(hù)的代碼，讓開發(fā)者能夠更好實(shí)現(xiàn)功能?！?/p>

展望未來，X 計(jì)劃允許僅使用通行密鑰注冊(cè)并提供專用的通行密鑰管理界面，以進(jìn)一步提升用戶體驗(yàn)。

開始使用

即刻了解如何使用通行密鑰和 Credential Manager API 提升應(yīng)用的用戶登錄體驗(yàn)。

通行密鑰

https://developer.android.google.cn/design/ui/mobile/guides/patterns/passkeys

Credential Manager API

https://developer.android.google.cn/identity/sign-in/credential-manager