Una publicación muy difundida en Hacker News afirma que las claves de acceso son una trampa e insta a los usuarios no técnicos a volver a los códigos TOTP y a las contraseñas. La publicación sostiene que la attestation de las claves de acceso permite a los sitios web exigir software, sistemas operativos y hardware aprobados, lo que acabaría bloqueando a los usuarios para realizar modificaciones y compartir cuentas.
El autor de la réplica, que escribió una biblioteca de claves de acceso de código abierto, afirma que esto malinterpreta el funcionamiento. Las claves de acceso sincronizadas almacenadas en el llavero de iCloud, Google Password Manager, 1Password o Bitwarden no proporcionan attestation en absoluto, y un sitio de consumo que exigiera claves de acceso con attestation dejaría fuera a casi todos sus propios usuarios. La attestation, cuando existe, solo identifica la marca y el modelo del autenticador mediante su AAGUID y la cadena de certificados del fabricante. No dice nada sobre el sistema operativo, el navegador, las extensiones ni el firmware.
La publicación también recomienda llaves de hardware como una Yubi Key para evitar la attestation, pero las Yubi Key son precisamente los dispositivos que la realizan. Mientras tanto, la publicación elogia los TOTP, que siguen siendo vulnerables a kits de phishing como Evilginx, que retransmiten los códigos al sitio real en tiempo real. Las claves de acceso están vinculadas a su dominio, por lo que una credencial creada para example.com no funcionará en un sitio parecido.
El veredicto es claro: cambiar una credencial resistente al phishing por otra vulnerable es un mal negocio. Se aconseja a los usuarios que sigan utilizando claves de acceso siempre que los sitios las admitan.
Fuente: Hacker News · Resumido por HeadlinesBriefing