关于Windows 11 23H2中Windows Hello passkeys存储、备份及恢复验证的技术问询

我来帮你理清这些关于Windows Hello Passkeys的问题，结合Windows 11 23H2的实际情况给你拆解：

1. Windows Hello Passkeys的存储位置 #

• Windows Hello的Passkeys采用「拆分存储」的设计：核心的私钥材料是加密存储在TPM芯片里的，这部分是硬件级隔离的，不会写入系统磁盘；而系统磁盘上只会保存一些辅助的配置元数据（比如关联的账号信息、设备标识等），这些元数据是用来让系统和TPM里的密钥建立关联的，但本身不具备密钥的核心功能。

2. 系统镜像备份是否包含Passkeys #

• 你用的Windows 7遗留系统镜像工具，只能备份系统磁盘上的所有文件和配置，无法备份TPM芯片里的核心私钥。所以备份里只会有Passkeys的元数据，没有实际能用于验证的密钥核心。

3. 恢复镜像后的验证方式 #

分两种情况：

• 如果是恢复到原来的同一台设备（TPM未更换、硬件未变动）：恢复后系统会重新识别到原有TPM里的密钥，你可以正常使用原来的PIN或指纹进行登录，不需要输入账号密码。
• 如果是恢复到新设备或更换过TPM的设备：因为新设备的TPM里没有原来的私钥，系统无法通过元数据匹配到有效密钥，这时候你必须使用Microsoft账号密码或者本地账号密码登录。登录后需要重新设置Windows Hello的PIN和指纹。

另外补充一点：你用的Windows File History和BackBlaze这类文件备份工具，同样只能备份磁盘上的元数据，也无法获取TPM里的核心密钥，所以它们也没法完整备份Passkeys的验证功能。

备注：内容来源于stack exchange，提问作者Richard Otter