為什麼你的銀行 App“安全鍵盤”並不能真正保護你的賬戶安全

在 1Password 開發團隊最新一期的播客節目中，他們丟擲了大量關於網路安全的“暴論”：通過郵箱傳送的登入連結到底安不安全？密碼會不會在 2026 年開始式微？VPN 真的能保護你的安全嗎？

如果讓我再補充一個網路安全領域的暴論，那我會說這一句：“安全鍵盤”並不能真正保護你的銀行賬戶安全。這裡所說的“安全鍵盤”，指的是許多手機銀行 App——尤其是在中國大陸及部分其他地區——在密碼輸入框中強制使用者使用的那套由應用自行實現的觸屏鍵盤。

如果要評選過去十年來金融機構採用過的最離譜的安全“創新”，它至少能排進前三名。

“安全鍵盤”從何而來？

讓我們把時間倒撥 30 年，回到個人電腦尚未全面普及的年代。早在 1997 年，招商銀行就推出了面向零售與個人使用者的網上銀行服務——「一網通」。

這個時間點比大多數人想像的都要早。彼時，距離那封著名的“越過長城，走向世界”的電子郵件也才過去十年；QQ 甚至還不叫 QQ，而是 OICQ。家用電腦並不普及，即便有，也往往是一家人共用的“奢侈品”。

然而，網際網路需求卻率先爆發了。即時通訊、網路遊戲、網上銀行等應用迅速興起，但硬體普及速度卻跟不上，這種“遠水解不了近渴”的矛盾，直接催生了一種特殊的基礎設施——網咖，也就是提供公共電腦和公共網路接入的場所。

今天我們都很清楚，在公共裝置上登入個人賬戶存在諸多安全風險：要退出登入、使用訪客模式或無痕模式、避免儲存密碼等。

但在當年，有一種極其原始卻異常致命的攻擊方式非常流行——硬體鍵盤記錄器。

這種裝置被安裝在鍵盤與電腦的 PS/2 介面之間，可以悄無聲息地記錄下所有按鍵輸入：你輸入了什麼字元、什麼密碼、發了什麼訊息，它全都記下來。為了隱蔽，它通常被做得很小，藏在機箱背面幾乎不易察覺。

想像這樣一個場景：你在網咖坐下，開啟 QQ，用鍵盤輸入賬號和密碼。你離開後，安裝鍵盤記錄器的人取回裝置，在記錄中翻找你的輸入內容，很快就能在你和朋友的聊天記錄中間找到你的 QQ 號和密碼。幾天後，你的 QQ 賬號就被盜了。

騰訊等公司因此收到了大量投訴，只能不斷提醒使用者檢查機箱背面是否插著奇怪的裝置，但問題依然層出不窮。

於是，一位工程師想到了一個辦法：鍵盤記錄器只能記錄鍵盤輸入，卻無法記錄螢幕內容。

那為什麼不乾脆繞過實體鍵盤呢？

這正是“軟體鍵盤”在 PC 時代流行起來的原因。通過在螢幕上顯示一個鍵盤介面，讓使用者用滑鼠點選按鍵來輸入字元，從而避開硬體鍵盤記錄器。包括 QQ 在內的許多軟體都加入了軟鍵盤功能，甚至還建議使用者輸入密碼時“軟硬結合”：一部分用實體鍵盤，一部分用軟鍵盤，以防止被拍照或錄屏完整記錄。

PC 時代的這種“軟鍵盤”，正是如今手機銀行 App 中“安全鍵盤”的前身。

更具體來說，許多銀行 App 會在使用者輸入密碼時，用自己實現的鍵盤替換系統鍵盤或第三方鍵盤。在中國金融行業中，諸如 JR/T 0068-2020、JR/T 0092-2019 等推薦性標準中，明確提到了逐字元加密、自定義軟鍵盤、防鍵盤竊聽等措施，用於保護敏感資訊輸入。

這裡有兩個關鍵點需要注意。

第一，這些標準的編號是 JR/T，其中的 “T” 代表推薦性標準，而非強制執行標準。

第二，標準只規定了“要達到什麼效果”，並沒有規定“必須如何實現”，這就導致各家銀行在具體實現上八仙過海，水平參差不齊。

一些相對“善良守序”的 App，會使用系統提供的 Custom Input Views 等機制，儘量還原原生鍵盤體驗；另一些則直接繪製一個假的輸入框，再彈出一個層級很高的 UI 來“模擬”鍵盤。

還有一些實現則顯得相當混亂。例如，某些 App 看似支援在密碼框中“貼上”，但如果你真的從 1Password 之類的密碼管理器貼上密碼，就會提示錯誤；而完全使用安全鍵盤手動輸入卻能成功。這很可能意味著：它們只在邏輯層記錄安全鍵盤的輸入，UI 只是展示小圓點；或者在邏輯層對每個字元做了 Unicode 對映和替換。

於是，一個問題不可避免地浮現出來：這究竟是真正的安全，還是精心設計的“賽博安慰劑”？

“安全鍵盤”正在鼓勵“不安全”

之所以花這麼多篇幅回顧歷史，是為了說明：安全鍵盤本質上是一個歷史產物，它試圖解決的是一個曾經極為重要的問題——在公共、不可信裝置上登入敏感賬戶。

但我們早已不生活在網咖時代了。

個人電腦的普及大幅降低了硬體被篡改的風險；安全啟動、記憶體校驗等機制不斷加強；使用者的網路安全意識也顯著提高。更重要的是，在人手一部手機的時代，想在觸屏裝置上覆刻硬體鍵盤記錄器的攻擊模型，幾乎是不現實的。

如果你想在硬體層面“記錄”手機輸入，就必須攔截圖幕顯示或觸控訊號，這不僅難度極高，而且幾乎不可能在規模化、無痕的前提下完成。

那軟體層面呢？

事實證明，即便是系統級 App，也無法輕易通過螢幕錄製介面獲取使用者的真實輸入。對 iPhone 使用者來說，即使日常使用第三方鍵盤，在密碼輸入框中也會被強制切換回系統自帶鍵盤；部分國產 Android 手機同樣預設啟用“密碼鍵盤”，在 SecurityField 啟用時替換第三方輸入法。

有人可能會想到通過陀螺儀等感測器推測輸入內容，學術界確實有相關研究。但問題在於：不論是系統鍵盤還是銀行自制的“安全鍵盤”，本質上都是軟鍵盤。如果真能通過感測器推斷輸入，那攻擊者完全可以“一視同仁”，並不會因為你用了安全鍵盤就放過你。

在這種極端假設下，唯一稍有意義的防禦，可能是每次都打亂按鍵佈局的隨機鍵盤。但即便如此，現實中的攻擊者仍需要突破一系列近乎不可能的門檻：繞過系統限制、長期後臺執行、不被系統殺死、不拖慢手機效能，還要準確重建輸入內容。

即便銀行在這裡把一切都做到了極致，真正的問題依然在後面等著。

阻斷密碼管理器，是一次自殘式安全設計

許多“安全鍵盤”的實現，直接破壞或停用了密碼管理器的自動填充功能。

這是一個非常嚴重的問題。因為現代作業系統之所以提供系統級的密碼填充能力，正是為了降低風險：無需手動輸入，避免鍵盤記錄和推斷攻擊，讓感測器分析之類的手段徹底失效。

一旦 App 強制使用自定義鍵盤、魔改輸入框，或在邏輯層篡改字元，密碼管理器往往就無法識別輸入欄位，只能退回到“手動輸入”。

而手動輸入的代價非常現實。

當輸入變得緩慢、麻煩、容易出錯，尤其是在打亂佈局的鍵盤上，使用者自然會傾向於選擇更好記、更好輸的密碼——也就是熵值更低的密碼。

這與我們早年見過的“複雜密碼策略”如出一轍：
必須包含大寫字母、小寫字母、數字、特殊符號，至少多少位……

看起來是在提升安全性，實際上卻壓縮了可能的密碼空間，讓攻擊者更容易最佳化猜測，同時迫使使用者採用高度可預測的“合規密碼”，比如 P@ssw0rd1。更糟糕的是，很多人乾脆設定一個“哪裡都能用”的密碼，在多個服務間重複使用。

安全鍵盤本質上也在做同樣的事情：通過增加摩擦，誘導使用者選擇“還能忍”的密碼，而不是通過密碼管理器生成並使用真正高熵、唯一的密碼。

諷刺的是，這種被宣傳為“額外防護”的機制，反而在真實世界中降低了整體安全性。

方便從來不是安全的敵人，麻煩才是

安全領域一直流傳著一句話：安全與便利不可兼得。

但上網時間越久，你就越會發現，這更像是一句神話。

安全往往不是敗給了“方便”，而是敗給了“麻煩到讓人繞過它”。

密碼管理器正是因此而誕生的：人類天生不擅長生成、記憶和管理大量高熵、唯一的密碼。給人一個符合行為習慣的系統，安全性反而會顯著提升。

從今天的視角看，密碼管理器與通行金鑰（Passkeys）在使用者體驗上其實高度相似：都是由系統生成憑據、儲存起來，在使用時只需一次生物識別或裝置解鎖即可完成認證。通行金鑰通過非對稱加密和裝置繫結提升了抗釣魚能力，而成熟使用下的密碼管理器，早已解決了密碼時代中最致命的現實問題。

真正的問題從來不在“密碼本身”，而在它周圍的一整套體系：如何儲存、如何傳輸、如何避免複用、如何抵禦釣魚，以及最重要的——如何與人性相處。

這正是 FIDO 和通行金鑰試圖解決的核心：把複雜的問題標準化、封裝起來，讓使用者不再揹負額外的心智負擔。只要按標準走，就能獲得更安全、更順暢的認證體驗。

但現實是，標準無法一夜之間取代既成事實。密碼使用了將近一百年，整個網際網路的遷移註定需要時間。

在這段過渡期裡，我們至少應該誠實地面對什麼真正有幫助。

被強制使用的“安全鍵盤”，往往只是對過時威脅模型的條件反射式回應。它在很多實現中阻斷了密碼管理器、增加了摩擦、誘導了更弱的使用習慣，卻幾乎無法抵禦當下最主要的攻擊手段。

在網路安全中，最好的系統從來不是靠要求使用者付出更多努力取勝的。

它們贏，是因為最安全的路徑，恰恰也是最省事的那條路。

所以，方便不是安全的敵人。

麻煩才是。