本文提出了一种名为 Vaulted Passkeys 的设备绑定凭证架构，旨在解决硬件认证器（如 FIDO2 安全密钥）在丢失、损坏或需要受控迁移时，私钥无法导出导致的恢复难题。现有通用做法是在设备故障前注册额外的认证器，但这本质上是冗余而非原始凭证的备份，且要求用户预先持有替代硬件。论文的核心思路是在源设备可用时导出受保护的凭证状态，并在之后将其恢复到新获取的硬件中，同时避免克隆完整认证器或将明文私钥暴露给桌面软件。具体技术上，Vaulted Passkeys 使用一个随机的 256 位密钥 Kvault 保护 PKV1 凭证信封，通过 HKDF 分离派生密钥，并定义了四种显式 AEAD 加密方案。架构上将注册流程与导出/导入流程分离，并区分必需的保险库与可选的身份标识。论文贡献包括：角色分离的系统模型、线格式规范、威胁分析、实现映射以及可证伪的评估计划。原型实现验证了可行性，但作者明确指出这并非正式的安全证明，也不是最终标准提案。适合对设备绑定凭据、可移植认证和密码学协议设计感兴趣的安全研究人员与标准制定者阅读。