Une publication largement partagée sur Hacker News affirme que les clés d'accès sont un piège et exhorte les utilisateurs non techniques à revenir aux codes TOTP et aux mots de passe. Selon cette publication, l'attestation des clés d'accès permet aux sites web d'exiger des logiciels, des systèmes d'exploitation et du matériel approuvés, ce qui finirait par empêcher les utilisateurs de modifier leurs appareils ou de partager des comptes.
L'auteur de la réponse, qui a écrit une bibliothèque open source de clés d'accès, affirme que cela constitue un contresens. Les clés d'accès synchronisées stockées dans le Trousseau iCloud, Google Password Manager, 1Password ou Bitwarden ne fournissent aucune attestation, et un site grand public exigeant des clés d'accès attestées exclurait presque tous ses propres utilisateurs. Lorsqu'elle existe, l'attestation identifie seulement la marque et le modèle de l'authentificateur, via son AAGUID et la chaîne de certificats du fabricant. Elle ne dit rien du système d'exploitation, du navigateur, des extensions ou du micrologiciel.
La publication recommande aussi des clés matérielles comme une Yubi Key pour éviter l'attestation, alors que les Yubi Key sont justement les appareils qui la réalisent. Dans le même temps, elle fait l'éloge du TOTP, qui reste vulnérable aux kits de phishing comme Evilginx, lesquels transmettent les codes au vrai site en temps réel. Les clés d'accès sont liées à leur domaine : un identifiant créé pour example.com ne fonctionnera pas sur un site imitant ce dernier.
Le verdict est clair : remplacer un identifiant résistant au phishing par un identifiant vulnérable au phishing est un mauvais compromis. Les utilisateurs sont invités à continuer d'utiliser les clés d'accès partout où les sites les prennent en charge.
Source: Hacker News · Résumé par HeadlinesBriefing