商务旅行中丢失硬件安全密钥，需要迅速而有控制地采取行动。先保护好自己，记录丢失了什么，通知登记该密钥的组织，并只使用获批的备用认证器。请获授权的管理员撤销遗失凭据，并通过正常的身份核验流程登记替代密钥。

关键要点：

转移到安全的地方，记录你最后一次掌控密钥的时间和地点。

找出与遗失密钥相关的每个雇主、账户和实物。

使用单独存放、事先登记的备用方式；不要临时想办法绕过。

让 IT 撤销遗失的认证器，尽管丢失本身并不证明你的密码已泄露。

结案之前，核实替代密钥、恢复方式以及任何相关的工牌或设备事件。

本清单从已登记的工作密钥遗失之后开始。出发前的预防请使用旅行双重认证准备指南和更完整的国际旅行指南。

1. 丢失硬件安全密钥后，先保证安全并保存事实

不要一边惦记着账户访问，一边在不安全的街道、车辆、站台或陌生房间里寻找。先转移到安全的地方，再写下你最后一次实际使用或看到密钥的时间。记录场所、大致时间、所在的包或钥匙串、交通路段，以及是否有他人经手过它。

有限度地检查可能的位置：电脑接口、专用小袋、酒店保险箱、会议室、安保台和交通失物招领处。如果政策允许，向场所员工询问，但不要透露该密钥可以访问哪家公司或哪些特权系统。不要在公开的失物启事中发布照片、序列号、用户名或雇主名称。

保存场所提供的收据、事件编号和消息。注明密钥是否挂在工牌、家门钥匙、行李牌、U 盘或其他可识别的物品上。即使认证器本身不含可读取的账户列表，这些细节也会影响实体安全和隐私方面的应对。

设定一个较短的寻找期限。一把之后可能被找回的密钥，在仍处于登记状态期间，也可能被他人使用。当组织政策要求及时通报时，报告和撤销不应等待一场没有期限的寻找。

2. 确认所有者、登记账户和关联损失

确认这把密钥属于你的雇主、客户还是你个人，以及由哪个组织登记。一把实体认证器可能登记在多个工作身份、管理门户、代码托管平台或密码管理器上。不要以为通知了一项服务，就会自动保护所有登记。

只在可信设备上使用清单、密码管理器笔记、身份门户或服务台记录。按组织和角色列出账户，而不是复制密钥信息。如适用，把特权或应急访问也包括在内，并告知相应的安全负责人，但不要尝试查看超出你授权范围的系统。

核对与密钥一起丢失的东西。遗失的工牌可能暴露雇主；贴有标签的钥匙串可能暴露办公室位置；笔记本电脑或手机可能保有活动会话；护照或钱包则会带来另一项身份盗用或旅行证件问题。按各自适用的事件流程处理，而不是把所有东西都当作一张认证工单。

丢失密钥本身并不证明密码、PIN 或账户已被入侵。FIDO 认证器的设计，使私有凭据不会像可重复使用的密码那样被导出。然而，遗失的设备仍可能是一个有效的已登记因素，因此必须及时处理其状态，而不是置之不理。

3. 仅使用独立保存的获批备用认证器

选择一个出行前已登记、并与遗失密钥分开存放的备用方式。视公司政策而定，它可能是第二把硬件密钥、认证器应用、平台通行密钥、受管理的恢复凭据或经核实的服务台流程。FIDO 的指引建议支持多个认证器，以免丢失一个就被迫采用不安全的恢复捷径。［1］

不要使用放在同一个遗失包里的恢复代码。不要接受主动发来的推送、借用他人的密钥、分享一次性验证码，或让来电者远程控制你的设备。捡到密钥的人可能借混乱之机，发出逼真的客服消息加以利用。

如果获批的备用方式可用，只用它进入官方账户或事件渠道。除非政策明确把这项操作交给你，不要自行删除遗失密钥的记录；管理员可能需要其凭据标识符和登记历史。未经批准，不要登记一把在机场商店购买的、来历不明的替代密钥。

如果没有任何备用方式可用，在被锁定之前停止重试。通过经核实的号码或受管理的应用联系服务台，并准备接受身份核验。FIDO 的恢复指引把恢复视为一个独立的认证过程，其保证等级应与账户风险相称，而不是请求免除认证。［2］

4. 通知 IT 撤销安全密钥

通过雇主既定的安全或身份途径报告丢失。提供账户、组织、最后确认持有的时间、大致地点、（如知道）密钥型号或资产标签、PIN 是否可能被人知道，以及还丢失了哪些物品。说明你正在使用哪种备用方式，以及是否观察到任何意外的提示或账户活动。

请获授权的管理员识别并撤销遗失的认证器。FIDO 的生命周期指引说明了从用户账户中移除遗失的认证器，并通过组织的受管理流程替换。［1］撤销可以防止密钥在被他人找到后仍作为有效凭据被接受。

不要把重置密码等同于撤销密钥。密钥登记可能独立于密码，活动会话也可能独立于两者。身份团队会根据相关证据，决定是否撤销会话、重置凭据、审查审计日志或暂时限制账户。

VPN 无法撤销企业安全密钥、核实你的身份、签发替代密钥或凌驾雇主的认证政策。改变网络位置不能代替移除遗失的凭据。

如果密钥之后被找回，不要自动恢复使用。在所有者确认它可以重新登记、检查、重置还是销毁之前，把它视为不可信。一个已撤销的凭据，不应只因物品看起来完好就被悄悄恢复。

5. 通过正式流程登记替代安全密钥

使用组织获批的采购和交接途径。替代密钥可能需要资产记录、受支持的固件、特定协议、认证证明（attestation）、PIN 政策或当面交接核验。不要在公开渠道提及寄送和领取细节，尤其是当收件人拥有特权访问时。

在受管理的设备上通过真正的身份门户登记新密钥。接触密钥之前先核实账户和租户，拒绝意外的二维码或登记链接。完成所需的身份核验，而不是仅凭一封邮件或一条聊天请求就让支持人员添加凭据。

给新的认证器取一个清楚的名称，既可区分它与已撤销的那把，又不暴露行程或特权。确认凭据列表显示了新登记，且不再接受遗失的密钥。在政策允许多个认证器时，登记第二个获批因素并分开存放。

用一次低风险的授权登录测试替代密钥，然后退出，再独立测试备用方式。在新密钥和恢复途径都得到确认之前，不要移除唯一可用的备用方式。按照公司规定，记录登记日期、资产标识、保管人和服务台工单。

6. 验证账户、设备和实体安全均已恢复

请事件负责人确认，遗失的凭据已在每个相关工作账户中被撤销，而不只是在你的视图中隐藏。确认是否审查了活动会话、是否出现可疑登录，以及是否仍需要监控或重置凭据。

处理关联事件。更换或停用工牌、报告遗失的笔记本电脑或手机、更换行李锁，并在政策要求时联系相关机关或保险公司。笔记本电脑遗失指南涵盖设备遏制，但不能代替这里的认证器撤销步骤。

记录最终状态：丢失时间、报告时间、已核查的账户、已撤销的凭据标识符、已登记的替代密钥、已测试的备用方式、相关的财物案件，以及批准结案的人员或团队。把记录保存在企业工单系统中，而不是个人笔记应用里。

下次出行之前，把主密钥、备用认证器、恢复信息和工作设备分开存放。提前核实服务台途径和受支持的替换流程。目标不是让丢失变得不可能，而是确保一件物品遗失不会迫使你作出不安全的恢复决定。

总结

保护人身安全，保存时间线，只进行有限度的寻找。
找出每一项登记，以及与密钥一起丢失的其他物品。
使用与遗失认证器分开存放、事先登记的备用方式。
由获授权的组织撤销遗失的密钥并评估相关会话。
结案之前，登记并核实一把受管理的替代密钥。

常见问题

遗失安全密钥是否等于密码被盗？

不是。这是两件不同的事，FIDO 密钥通常不会暴露可重复使用的私有凭据。但遗失的密钥仍可能是已登记的认证器，因此要及时报告并撤销。

不知道账户名或 PIN 的人能使用密钥吗？

这取决于密钥、账户、PIN 要求、附带的标签以及一同丢失的其他信息。不要独自估计风险；把背景告诉 IT 并移除登记。

应该等酒店或航空公司找到吗？

你可以进行有限度的失物查询，但不要推迟必要的安全报告或撤销。寻找期间，密钥可能仍然可用。

能使用同一包里的恢复码吗？

把遗失包里的任何东西都视为可能已丢失。使用单独存放的获批方式，或雇主经核实的恢复流程。

只改密码是否足够？

不能作为替代。密码、已登记的认证器和活动会话是不同的管控。按照身份团队对每一项的决定处理。

能在海外随便购买替代密钥吗？

只有在组织明确批准型号和登记途径时才可以。受管理的环境可能要求受支持的硬件、资产追踪、固件或认证证明。

找回原密钥后能继续使用吗？

未经授权不可以。保持断开连接，并询问所有者它应接受检查、重置、重新登记还是销毁。

免责声明： 本文仅供一般信息参考，不构成法律、技术或其他专业建议。我们不保证内容的准确性、完整性或时效性。

来源

FIDO Alliance, Lifecycle Management for FIDO Authenticators — https://fidoalliance.org/wp-content/uploads/2021/04/FIDO-White-Paper-Lifecycle-Management-for-IT-Administrators.pdf
FIDO Alliance, Account Recovery Best Practices — https://fidoalliance.org/wp-content/uploads/2019/02/FIDO_Account_Recovery_Best_Practices-1.pdf

Sources checked 2026 年 9 月 12 日。

延伸阅读：

商务旅行丢失硬件安全密钥：安全报失、使用获批备用认证与撤销凭据