什麼金鑰都不夠看，活的密碼才稀奇！

永豐銀行在過年期間傳出多位卡友信用卡被盜刷，而且明明都使用 OTP 一次性密碼驗證了，卻還是難逃駭客魔爪。難道，我們已經沒有安全的交易方法了嗎？

好消息是，Google 、 Apple 、 Microsoft 都不約而同宣布導入「Passkeys」無密碼驗證技術，只要使用生物辨識，使用者不需要再創作密碼，大幅減少被破解或是被側錄盜帳號的機率。

Passkeys 用作原理

也許你會提出疑問，指紋登入不是早就有了嗎？又與二階段驗證（Two-Factor Authentication, 2FA）看上去十分類似，這套「無密碼驗證」機制，我們真的可以相信嗎？

首先，我們先來釐清Passkeys 的運作原理。在 Passkeys 的運作之中，一共有三個重要的角色：使用者 Device、平台供應商 Authenticator、應用服務 Relying Party。

在第一次申請 Passkeys 功能並使用生物驗證時，便會生成一組對應的公鑰與私鑰，公鑰存放在應用服務端（如：網路銀行）、而私鑰則保存在使用者的硬體裝置上（如：手機）；每當未來要進行 Passkeys 登入時，應用程式便會發起一個驗證請求，要求使用者利用裝置內的私鑰進行簽章，以證明自己的身分。

當然，為了確保當下持有手機的是使用者本人，手機裝置就會要求透過指紋等生物驗證機制，完成識別後，再使用裝置內的私鑰進行簽章回傳給應用服務，應用服務端則利用他們所持有的公鑰，來驗證簽章的效力。

我們可以把登入情境變成一張如下的邏輯架構：

密碼與鑰匙

更進一步討論，就得要先知道「公開金鑰密碼」（Public Key Cryptography, PKC）與「公鑰」（Public Key）、「私鑰」（Private Key）的概念。

一般所說的「加密」概念，就是希望只有對方能夠「解密」。

早期的「對稱式密碼學」，在加密和解密時均使用同一把鑰匙，如此一來便衍生了一個小問題——多了一個「額外的秘密」需要被傳遞，這樣既麻煩也不安全。

後來就出現了「非對稱密碼學」，也就是前述提到的公開金鑰密碼學。在這個理論中將用到兩把不同的鑰匙——「公鑰」及「私鑰」；私鑰僅留存給使用者，公鑰則是公開給所有人。演算法分別使用這兩把鑰匙進行加密與解密，具有單向、無法回推等特徵。

如此一來，可以達到不同的應用方式：

第一種是「傳遞秘密」，每個人都持有一把自己的私鑰、向大家公開一把成對的公鑰，任何人都可以「用公鑰加密訊息」給我、並且只有我可以「用私鑰解密訊息」看到秘密訊息的內容。

第二種常見的應用方式則是 Passkeys 架構中所用到的「數位簽章」。數位簽章的邏輯正好和傳遞秘密相反：「用私鑰加密簽章」並「用公鑰解密驗章」；如此一來，任何人都能持有的公鑰，便能用以驗證訊息是否確實由世上唯一擁有私鑰的使用者所簽名發出。

重新回來看 Passkeys 的架構，就不難理解為什麼 Passkeys 在不使用密碼的前提下，也能透過裝置上的私鑰，來向應用服務進行身分驗證。當然，Passkeys 的安全與強大之處並不只在於公鑰密碼系統，而是可以完全擺脫掉「帳號密碼」的概念，進而避免非常多的威脅。

從根本上解決問題

一般來說，在登入帳號時所使用的「密碼」，並不會直接被明文儲存在應用服務的伺服器裡，會透過編碼、雜湊、加密等各種方式進行儲存。

即便如此，太過簡單的弱密碼容易被暴力或查表破解。此外，駭客也可以透過網站釣魚（Phishing）或鍵盤側錄（KeyLogger）等方式偷取使用者的密碼，再轉手將偷來的資訊傳給應用服務進行中間人攻擊（Man-in-the-Middle Attack）；常見的簡訊驗證碼等二階段驗證方式，也可能受此攻擊的影響。

Passkeys 則從根本上解決了釣魚網站的威脅。存在使用者裝置中的 Passkeys 並不僅是一把私鑰，它連帶也儲存了應用服務網址、使用者帳號等資訊；無論釣魚網站做的與原服務有多相像，只要來源並非原本的服務網站，Passkeys 功能就不會被啟動，駭客自然就無法執行驗證或偷取到任何資訊。

而在跨裝置登入上，流程會是：使用者在筆電上開啟應用服務網站，選擇以 Passkeys 登入，網站會跳出一個 QRCode，使用者只要用存有私鑰的那隻手機掃描 QRCode，便會開啟 Passkeys 功能，讓使用者透過生物驗證完成登入。

這個過程不需要用到任何的「帳號」，因為 Passkeys 本身就儲存了使用者是誰的身分資訊，而使用 Passkeys 跨裝置登入時需要掃描 QRCode 來啟動的這一點，是為了避免駭客利用來進行中間人攻擊；Passkeys 要求這兩個裝置之間必須有藍牙連接，也就是必須在一定的物理範圍之內，裝置之間才能夠順利啟動 Passkeys 認證。

帶來的便利

對一般使用者來說，除了安全性以外，便利性也非常重要。

前述提及 Passkeys 的無密碼驗證機制，其實就等同於讓「裝置」擁有代表使用者本人的效力，那麼，若裝置不慎遺失、還能簡單地取回自己的身分嗎？答案是可以的。

使用者與提供 Passkeys 功能的平台供應商之間，原則上本來就會有相互驗證的方式，例如本來的帳號密碼登入、或者是額外的找回帳號機制，透過這些方式找回並登入帳號後，就可以進行設置，停用舊有 Passkeys 或啟用新的 Passkeys。

此外，Passkeys 提供多裝置同步私鑰的功能，以使用者對平台提供商的信任為前提，平台可能會在其雲端中儲存使用者的私鑰，以便在使用者需要的時候，可以將該私鑰輕鬆地同步到相同作業系統的其他裝置上，讓使用者也可以利用平板或電腦等裝置進行驗證登入。

另外，使用不同作業系統的裝置，一樣能用原本的私鑰登入；系統會在新的裝置上生成一組新的公私鑰繼續運作。也就是說，不管你是 Android 轉 iOS，還是 iOS 轉 Android，都不需重新設定，對使用者來說，可謂一大福音！

歡迎訂閱 Pansci Youtube 頻道 獲取更多深入淺出的科學知識！

• Bacillus cohnii 　 
• 科氏芽孢桿菌
• 形狀：圓
• 直徑：0.6 至 0.7 微米
• 前進：使用布滿細胞表面的鞭毛

會產生石灰的細菌

細菌不僅可以用於生產食物或提煉金屬，還可以用來建造橋樑和房屋。

例如科氏芽孢桿菌，這是一種一點都不起眼，但會產生石灰的細菌。它喜歡鹼性的生活環境，像是酸鹼值可達八的馬糞裡。但它也生活在鹼性更強的環境，全世界都有其蹤跡，甚至在歐洲、非洲、南美、土耳其的鹼湖裡，它會利用溶在湖裡的碳酸鹽產生石灰。

此細菌最初是在一九九○年代初期，德國微生物及細胞培養保藏中心的細菌學家在尋找偏好鹼性環境的新菌種時所發現，當時的土壤樣本來自一個鹼性土壤的牧場，裡面還殘留著馬糞。

科氏芽孢桿菌除了能夠忍受酸鹼值超過十二的強鹼，相當於氣味刺鼻的氨水的酸鹼值，還能形成孢子渡過長時間的乾旱期。細菌孢子的特性是具有極強的抵抗力，可以存活數十年或數百年，在特定的條件下甚至超過數百萬年（球形離胺酸芽孢桿菌（→ 78頁）還有發芽的能力。

科氏芽孢桿菌的名字源自於德國細菌學家費迪南．尤利烏斯．科恩（Ferdinand Julius Cohn），細菌學的奠基者，也是一八七二年第一個鑑識出芽孢桿菌屬這種小桿形細菌的學者。

研發能「自行修復」的混凝土

科氏芽孢桿菌能生活在鹼性環境中，能產生石灰，孢子經過長時間還具有發芽能力。結合這三種特性，令建築業對之產生興趣。一位荷蘭微生物學家專門研究會產生石灰的細菌，並嘗試研發出一種能自行修復的混凝土。

他的做法是將細菌孢子與銨鹽、磷酸鹽及養分混合在一起，封裝於黏土球裡，然後將這粒只有幾公厘大小的顆粒加入強鹼性的混凝土中。混凝土硬化後若一直保持緊密，便無事發生。但如果出現裂縫，開始長時間滲水，細菌孢子就會開始萌發。當細菌繁殖分裂，會消耗添加進去的物質，並不斷產生碳酸鈣填補裂縫。一道幾公釐寬的裂縫，只需數天時間即可修補完畢。

如此一來，科氏芽孢桿菌就可以解決混凝土結構出現裂縫的難題，否則定期必須進行的繁複維修，造成的損失可高達數十億歐元。除此之外，此細菌也能用在保護現存的建築物，在噴塗混凝土或修復液中皆已測試添加此細菌，用在已出現細微裂縫的建築構件上。

不過，此項產品至今尚未成熟，黏土顆粒仍然占據太多空間，進而影響混凝土的穩定性。還有載體材質、養分及混凝土之間的交互作用，以及孢子平均分布與釋放，與石灰形成的速度及過程等等，都還在改良中。如今，研究人員也測試其他能形成石灰的細菌是否適用。不過無論如何，科氏芽孢桿菌可說是混凝土生物修復劑的先鋒。

科氏芽孢桿菌這類會產生石灰的細菌，現在也運用在其他目的上。一家德國公司利用它來黏走採礦產生的灰塵。方法是將細菌加入培養液裡，灑在布滿灰塵的泥土上，六至四十八小時內就會產生石灰，將灰塵顆粒黏在一起形成砂岩，即固化灰塵。從前為了抑制灰塵，礦業公司必須使用大量的水，如今，藉由細菌的幫忙，就可以省下這些水了。

——本文摘自《細菌群像：50種微小又頑強，帶領人類探索生命奧祕，推動科學前進的迷人生物》，2023 年 ３ 月，麥田出版，未經同意請勿轉載。

• Candidatus Pelagibacter ubique 
• 遍在遠洋桿菌
• 外觀：通常如月牙般略彎之小桿 
• 長：0.37 至 0.89 微米 寬： 0.12 微米至 0.20 微米

高效率利用生存空間

假使將我們肚裡大腸桿菌的體型比作兔子，遍在遠洋桿菌的體型就如同小老鼠。這種無所不在的海洋細菌不只是能獨立生存的細菌中體積最小的^[1]，可能也是全世界最有效率也最成功的生物。每公升的海水裡，就有數以百萬計這種細菌，據推測，遠洋桿菌屬的總菌量在地球上高達 1027 至 1028，這個數目是宇宙中目前可觀測到之恆星數量的十萬至一百萬倍。

但這種細菌所創下的紀錄不只這項： 海水所含養分非常貧乏，微生物要生存，就必須主動將所需養分分子輸送進細胞內部。這會消耗能量，最後也一定會有所剩餘。遍在遠洋桿菌則生活在極限邊緣：擁有正好足夠其吸收養分及生長繁殖所需的能量，剛剛好，不多也不少。

遍在遠洋桿菌可說是生物界的空間利用大師，其用來維持新陳代謝和繁殖的胞內空間，少到令人難以想像。細胞內三分之二的空間用於新陳代謝，剩下的三分之一被遺傳物質占滿。在小小的空間裡備有感應系統，能偵測含碳、氫、鐵化合物及光線的位置，擁有必要的運輸系統，以及一切所需的酵素，能自行生產二十種維持生命不可或缺的胺基酸。

體積若是再小，就只能放棄全部或部分的新陳代謝。例如，更小的病毒基本上就是壓縮緊密的基因，會侵入其他生物的細胞中，將別人的新陳代謝系統據為己用。

如果養分充足，細胞內無須再具備持家基因，生活在這種環境的細菌或古菌的確可以小過遍在遠洋桿菌。例如生殖道黴漿菌（Mycoplasma genitalium），這是一種對人類致病的病原體，會在尿道、子宮等黏膜造成感染，體積僅有三百乘以六百奈米左右，但無法獨立生存^[2]。二○一五年有學者聲稱在地下水裡發現更小的細菌，但直至今日為止尚未能成功培養，因此學界相當懷疑是否真實存在。

精簡而高效的演化結果

此外，遍在遠洋桿菌的維生機制，效率也出奇地高。它只有一百三十萬組鹼基對，共含約一千四百個基因，是至今已知可獨立生存的物種中最少的。沒有任何多餘的東西，只有必要的配置。甚至連遺傳密碼，也似乎為了減少能量消耗而有過最佳化的調整。

一如其他生物，遠洋桿菌的遺傳密碼由四種鹼基 A（腺嘌呤）、C（胞嘧啶）、G（鳥嘌呤）、T（胸腺嘧啶）所組成。但比起其他細菌，遠洋桿菌裡 A 與 T 出現較為頻繁，此點便是出於效能，因為 C 與 G 含有較多的氮（而這在海水中是稀有元素），製造起來較為困難，如同人們以盡可能節省墨水的方式寫作一樣。

遍在遠洋桿菌在其所屬的立克次體目裡，算是特異獨行的一支。因為除了它之外，所有立克次體目的細菌，都必須在其他生物細胞內才能存活，其中也有不少病原菌，例如普氏立克次體菌，流行性斑疹傷寒的病原菌，透過蝨子傳染。

生物學家研究遍在遠洋桿菌並不只因為其驚人的能源效能和基因體的構造，對生態而言，它也相當重要。因為所有遠洋桿菌加起來的重量，比全球海洋魚類總重量還要多，且占有海洋細菌生物量的四分之一；在溫暖的夏季，甚至可能高達二分之一。由於它的主要食物來自死亡生物殘留下來的可溶性有機物，因此在地球的碳循環上，也扮演一個重要的角色。

由於數量實在太龐大，因此也容易引起敵人的覬覦：至今已知有數種病毒，會侵占並消滅此種細菌。

遲至二○○二年，人們才知道遍在遠洋桿菌的存在。在那之前，人們只認得它的 rRNA（核糖體核糖核酸）序列，是一九九○年研究人員在北大西洋馬尾藻海的海水樣本裡所發現。這也是首批運用當時最新的序列鑑定方法檢測到的細菌之一，但當時無法成功地培養出來。最後研究人員用了養分很低的培養基，以及高度稀釋的樣本，並添加一種能附著在核糖體上的染劑用以判別才成功。

註解

• [1] 審定注：一些寄生型細菌和古菌更小。
• [2] 審定注：該菌倚賴人類細胞裡的現成養分存活。

——本文摘自《細菌群像：50種微小又頑強，帶領人類探索生命奧祕，推動科學前進的迷人生物》，2023 年 ３ 月，麥田出版，未經同意請勿轉載。