Singpass 通行密钥详解：不输密码，如何让钓鱼网站无从下手

公钥和私钥如何阻断钓鱼？

注册通行密钥时，iPhone 会生成一对独特的公钥和私钥：

• 私钥保留在已注册设备中，用于生成数字签名；
• 公钥登记在 Singpass 系统中，用于验证数字签名；
• 登录时，Singpass 会发送一次性挑战信息；
• 用户用 Face ID、Touch ID、指纹或 Singpass 应用密码确认后，手机才会使用私钥为该挑战签名；
• Singpass 再用已保存的公钥验证这份签名。

严格来说，这属于公钥密码学在身份认证中的应用，而不只是简单的“加密密钥交换”。私钥不会发送给 Singpass，单独拥有公钥也无法冒充用户。按照 FIDO 标准，这种机制属于与来源绑定的认证：通行密钥与合法服务域名关联，外观相似的钓鱼网站无法取得一份可用于 Singpass 的认证响应。

因此，骗子即使复制了 Singpass 登录页面，也很难从通行密钥用户那里获得有价值的可重复使用凭证。假网站拿不到密码、OTP、二维码批准信息，也无法把加密响应截获后拿到其他地方重放。

首阶段哪些设备可以使用？

此次测试采取分阶段推出的方式：

• **iPhone／iOS：**自2026年7月1日起支持通过移动浏览器使用；
• **安卓设备：**计划在后续阶段支持；
• **笔记本电脑和台式电脑：**桌面浏览器登录同样要等后续阶段。

所以，即使是 iPhone 用户，也不应默认所有 Singpass 服务和所有登录场景都已经立即提供通行密钥选项。实际可用范围仍取决于相关服务是否接入，以及当前 rollout 阶段覆盖的设备和浏览器。

如何注册 Singpass 通行密钥？

在首阶段 iPhone 推出期间，注册操作在 Singpass 移动应用中完成：

1. 将 Singpass 应用更新到最新版本；
2. 打开应用，在首页找到通行密钥横幅；
3. 按照屏幕提示完成创建。

注册后，登录时可根据设备和设置，使用 Face ID、Touch ID、指纹或 Singpass 应用的六位数密码进行本地授权。用户不需要在参与该功能的网站上输入 Singpass 密码。

跨设备登录为什么需要蓝牙近距离验证？

如果用户是在另一台设备上打开服务，再用手机完成认证，就会出现一个额外风险：骗子可能控制自己的电脑或手机，诱导受害者在远处批准一次实际上由骗子发起的登录。

针对跨设备认证，Singpass 可以通过短距离蓝牙检查，确认持有通行密钥的注册手机确实位于发起登录设备附近。

蓝牙检查并不取代公钥和私钥验证，而是增加了“手机就在旁边”的物理接近证据。这样一来，骗子更难通过远程发送二维码或登录提示，再电话指导受害者完成批准。例如，骗子在另一地点操作电脑、受害者只在手机上按下确认的攻击路径，会因此更难实施。

为什么密码、二维码等旧方式仍然保留？

通行密钥在测试期间只是新增的可选方式，并非立即全面取代现有登录流程。没有符合条件的 iPhone、尚未注册通行密钥的用户，以及尚未纳入分阶段部署的服务或设备，仍需要使用原有方式登录。

这些方式对覆盖范围和无障碍使用仍有价值，但安全性更依赖用户是否能识别并拒绝诱导。用户可能被骗子套出密码或 OTP，也可能被诱导扫描虚假二维码，或批准一项自己并未发起的登录请求。新加坡警方仍提醒公众，绝不要向陌生人透露 Singpass 密码或双重身份验证（2FA）信息。

通行密钥减少了可以被钓鱼窃取的凭证材料，但并不意味着所有诈骗都会消失。骗子仍可能冒充机构，诱导用户提供个人资料，或利用账户恢复、换机和账户接管流程发动攻击。

它与 FIDO 标准有什么关系？

Singpass 的设计采用了 FIDO 和 WebAuthn 所代表的公钥密码学、来源绑定认证模式。FIDO2（Fast IDentity Online 2）是一套开放认证标准，目标是使用抗钓鱼的加密凭证，而不是依赖可重复使用的密码或验证码。

开放标准的意义在于，通行密钥并非某一家服务商的专有格式。FIDO 联盟将其定义为与网站或应用账户关联的凭证，可根据具体服务和部署情况存放在手机、电脑或硬件安全密钥中，并通过用户解锁设备时使用的生物识别信息、PIN 或图案完成认证。

对 Singpass 用户而言，最直接的安全收益是域名绑定：认证器应当只为合法 Singpass 服务作出响应，而不是为视觉上相似的钓鱼域名提供可用凭证。

新加坡的钓鱼诈骗有多严重？

新加坡在2025年共记录37,308起诈骗案件，诈骗损失约为9.131亿新元。这是所有诈骗类型的合计数字，并不等同于钓鱼诈骗损失。

官方年度统计另行列出，2025年钓鱼诈骗案件为6,264起，损失约3,990万新元。这说明钓鱼诈骗是整体诈骗问题的重要组成部分，但这些数据不能证明所有诈骗损失都涉及 Singpass 凭证被盗。

因此，Singpass 推出通行密钥的目标较为明确：让钓鱼攻击中最关键的“骗取并重放登录凭证”环节变得难以奏效。与此同时，在密码、OTP 和二维码等旧方式仍然存在的过渡期，用户仍需核对网站地址、拒绝意外的登录请求，并且绝不向他人分享 Singpass 信息。