تزعم منشورة واسعة الانتشار على موقع Hacker News أن مفاتيح المرور فخ، وتحث المستخدمين غير التقنيين على العودة إلى رموز TOTP وكلمات المرور. يجادل المنشور بأن attestation مفاتيح المرور تتيح للمواقع المطالبة ببرامج وأنظمة تشغيل وأجهزة معتمدة، مما قد يؤدي في النهاية إلى حرمان المستخدمين من التعديل ومن الحسابات المشتركة.
يقول كاتب الرد، وهو مطور مكتبة مفاتيح مرور مفتوحة المصدر، إن هذا الطرح يسيء فهم طريقة العمل. فمفاتيح المرور المزامنة المخزنة في iCloud Keychain أو Google Password Manager أو 1Password أو Bitwarden لا توفر أي attestation، وسيؤدي أي موقع استهلاكي يشترط مفاتيح مرور معتمدة إلى استبعاد معظم مستخدميه. وحيثما وُجدت، لا تحدد attestation سوى الشركة المصنعة وطراز جهاز التوثيق عبر AAGUID وسلسلة شهادات البائع، ولا تقول شيئًا عن نظام التشغيل أو المتصفح أو الإضافات أو البرامج الثابتة.
كما يوصي المنشور بمفاتيح الأجهزة مثل Yubi Key لتجنب attestation، مع أن مفاتيح Yubi هي نفسها الأجهزة التي تنفذ هذه العملية. وفي المقابل، يثني المنشور على TOTP، الذي لا يزال عرضة لأدوات التصيد مثل Evilginx التي تنقل الرموز إلى الموقع الحقيقي في الوقت الفعلي. أما مفاتيح المرور فهي مرتبطة بنطاقها، لذلك لن تعمل بيانات الاعتماد المنشأة لـ example.com على موقع مشابه.
الحكم واضح: استبدال بيانات اعتماد مقاومة للتصيد ببيانات قابلة للتصيد صفقة سيئة. وينصح المستخدمون بمواصلة استخدام مفاتيح المرور حيثما تدعمها المواقع.
المصدر: Hacker News · لخّصه HeadlinesBriefing