背景与问题

过去几年，iPhone和iPad用户在跨行业的多因素认证（MFA）协议WebAuthn中处于“二等公民”地位。虽然Android、Windows、Mac和Linux用户可以轻松使用这一新兴标准登录Google、GitHub等网站，但iPhone和iPad用户要么面临繁琐的操作，要么根本无法使用。苹果的犹豫不仅影响了iPhone和iPad用户，也阻碍了WebAuthn的普及。

WebAuthn的重要性

WebAuthn及其前身U2F是防止账户被盗的最有效手段。它们要求用户在输入密码的同时，提供预先注册的指纹、面部扫描或物理安全密钥。这种设置使得大多数现有的账户盗取手段失效，因为攻击者通常只依赖于窃取密码。WebAuthn由跨行业的FIDO联盟开发，并于2019年3月被万维网联盟（W3C）采纳，得到了Windows、Android、Chrome、Firefox、Opera和Brave等平台的原生支持。

iPhone和iPad的困境

苹果对WebAuthn的冷淡态度使得这一标准难以获得广泛采用。iPhone和iPad用户最初只能通过蓝牙适配器（如Google的Titan安全密钥）使用WebAuthn，但这种方式存在诸多限制：仅适用于Google服务，安装和配对过程繁琐，且蓝牙本身存在安全漏洞。2019年5月，Google披露了蓝牙Titan密钥的漏洞，进一步削弱了用户对蓝牙安全性的信任。

苹果的加入

2019年12月，苹果在iOS和iPadOS 13.3中首次引入了对WebAuthn的原生支持。这一变化使得开发者可以通过Safari浏览器和新的API（如SF Safari View Controller和AS Web Authentication Session）将WebAuthn集成到他们的应用中。Yubico也推出了支持Lightning、USB和NFC的安全密钥。

当前的局限性

尽管苹果加入了WebAuthn的行列，但仍存在一些不足：

1. 生物识别支持缺失：iPhone和iPad无法使用Face ID或Touch ID进行WebAuthn认证，用户必须依赖物理安全密钥。
2. 部分网站兼容性问题：目前，Gmail等Google服务尚未与苹果的原生WebAuthn支持兼容，用户仍需使用繁琐的蓝牙适配器。

未来展望

苹果的加入为WebAuthn的普及带来了重要推动力。尽管当前仍有一些限制，但随着更多网站和应用开发者的跟进，WebAuthn有望成为广泛采用的多因素认证标准。对于拥有NFC功能的iPhone用户，推荐使用Yubico的Yubikey 5 NFC或Security Key NFC；没有NFC的设备则可以使用YubiKey 5Ci。

结论

苹果的加入标志着WebAuthn在MFA领域的重要进展。尽管当前仍有一些技术限制，但这一变化为iPhone和iPad用户提供了更安全的认证方式，并为WebAuthn的广泛采用铺平了道路。