Ein weit verbreiteter Beitrag auf Hacker News behauptet, Passkeys seien eine Falle, und fordert nicht-technische Nutzer auf, zu TOTP-Codes und Passwörtern zurückzukehren. Der Beitrag argumentiert, dass die Attestation von Passkeys es Websites erlaube, zugelassene Software, Betriebssysteme und Hardware zu verlangen, sodass Nutzer am Ende von Änderungen und gemeinsam genutzten Konten ausgeschlossen würden.
Der Autor der Entgegnung, der eine Open-Source-Bibliothek für Passkeys geschrieben hat, sagt, dies sei ein Missverständnis der Funktionsweise. Synchronisierte Passkeys, die im iCloud-Schlüsselbund, im Google Passwortmanager, in 1Password oder Bitwarden gespeichert werden, liefern überhaupt keine Attestation. Eine Verbraucherseite, die attestierte Passkeys verlangt, würde nahezu alle eigenen Nutzer aussperren. Wo eine Attestation vorhanden ist, identifiziert sie lediglich Hersteller und Modell des Authentifikators über die AAGUID und die Zertifikatskette des Anbieters. Sie sagt nichts über Betriebssystem, Browser, Erweiterungen oder Firmware aus.
Der Beitrag empfiehlt außerdem Hardware-Schlüssel wie einen Yubi Key, um die Attestation zu umgehen, doch genau diese Geräte führen die Attestation durch. Gleichzeitig lobt der Beitrag TOTP, das weiterhin anfällig für Phishing-Kits wie Evilginx ist, die Codes in Echtzeit an die echte Seite weiterleiten. Passkeys sind an ihre Domain gebunden, sodass eine für example.com erstellte Zugangsdaten auf einer täuschend ähnlichen Seite nicht funktioniert.
Das Fazit ist eindeutig: Eine phishingresistente Zugangsdaten gegen eine phishingfähige einzutauschen, ist ein schlechtes Geschäft. Nutzern wird geraten, Passkeys weiterhin dort zu verwenden, wo Websites sie unterstützen.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing