Hacker News-এ ব্যাপকভাবে শেয়ার হওয়া একটি পোস্ট দাবি করে যে পাসকি একটি ফাঁদ এবং অপ্রযুক্তিগত ব্যবহারকারীদের TOTP কোড ও পাসওয়ার্ডে ফিরে যেতে আহ্বান জানায়। পোস্টটির যুক্তি হলো, পাসকির attestation ওয়েবসাইটগুলোকে অনুমোদিত সফটওয়্যার, অপারেটিং সিস্টেম ও হার্ডওয়্যার দাবি করার সুযোগ দেয়, যা শেষ পর্যন্ত ব্যবহারকারীদের পরিবর্তন করা এবং শেয়ার করা অ্যাকাউন্ট থেকে বাদ দিয়ে দেয়।
প্রতিবাদ লেখক, যিনি একটি ওপেন-সোর্স পাসকি লাইব্রেরি লিখেছেন, বলেন যে এই ধারণাটি ভুলভাবে বোঝা হয়েছে। iCloud Keychain, Google Password Manager, 1Password বা Bitwarden-এ সংরক্ষিত সিঙ্ক করা পাসকি কোনো attestation প্রদান করে না, এবং যে ভোক্তা সাইট attested পাসকি দাবি করবে, সে নিজের প্রায় সব ব্যবহারকারীকেই বাদ দিয়ে দেবে। যেখানে attestation থাকে, সেখানে এটি শুধু AAGUID ও বিক্রেতার সনদ শৃঙ্খলের মাধ্যমে authenticator-এর প্রস্তুতকারক ও মডেল শনাক্ত করে। এটি অপারেটিং সিস্টেম, ব্রাউজার, এক্সটেনশন বা ফার্মওয়্যার সম্পর্কে কিছু বলে না।
পোস্টটি attestation এড়াতে Yubi Key-এর মতো হার্ডওয়্যার কী-র পরামর্শও দেয়, অথচ Yubi Key গুলোই attestation সম্পন্ন করে। একই সঙ্গে পোস্টটি TOTP-এর প্রশংসা করে, যা Evilginx-এর মতো ফিশিং কিটের কাছে এখনও দুর্বল, যা কোড সঙ্গে সঙ্গে আসল সাইটে পৌঁছে দেয়। পাসকি তাদের ডোমেইনের সঙ্গে আবদ্ধ, তাই example.com-এর জন্য তৈরি একটি ক্রেডেনশিয়াল কোনো নকল সাইটে কাজ করবে না।
রায় স্পষ্ট: ফিশিং-প্রতিরোধী ক্রেডেনশিয়াল বদলে ফিশিং-সাপেক্ষ ক্রেডেনশিয়াল নেওয়া একটি খারাপ লেনদেন। সাইটগুলো সমর্থন করলে ব্যবহারকারীদের পাসকি ব্যবহার চালিয়ে যাওয়ার পরামর্শ দেওয়া হচ্ছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing