Hacker News पर व्यापक रूप से साझा की गई एक पोस्ट दावा करती है कि पासकी एक जाल है और गैर-तकनीकी उपयोगकर्ताओं से TOTP कोड और पासवर्ड की ओर लौटने का आग्रह करती है। पोस्ट का तर्क है कि पासकी का attestation वेबसाइटों को स्वीकृत सॉफ़्टवेयर, ऑपरेटिंग सिस्टम और हार्डवेयर की माँग करने देता है, जिससे अंततः उपयोगकर्ता संशोधन और साझा खातों से बाहर हो जाते हैं।
खंडन के लेखक, जिन्होंने एक ओपन-सोर्स पासकी लाइब्रेरी लिखी है, कहते हैं कि यह तरीका गलत समझा गया है। iCloud Keychain, Google Password Manager, 1Password या Bitwarden में संग्रहीत सिंक की गई पासकी कोई attestation प्रदान नहीं करतीं, और जो उपभोक्ता साइट attested पासकी की माँग करेगी, वह अपने लगभग सभी उपयोगकर्ताओं को बाहर कर देगी। जहाँ attestation मौजूद है, वह केवल AAGUID और विक्रेता प्रमाणपत्र शृंखला के माध्यम से authenticator का निर्माता और मॉडल बताता है। यह ऑपरेटिंग सिस्टम, ब्राउज़र, एक्सटेंशन या फ़र्मवेयर के बारे में कुछ नहीं कहता।
पोस्ट attestation से बचने के लिए Yubi Key जैसी हार्डवेयर कुंजियों की सलाह भी देती है, फिर भी Yubi Key वही उपकरण हैं जो attestation करते हैं। इसी बीच, पोस्ट TOTP की प्रशंसा करती है, जो अब भी Evilginx जैसी फ़िशिंग किटों के प्रति संवेदनशील है, जो कोड को वास्तविक समय में असली साइट तक पहुँचा देती हैं। पासकी अपने डोमेन से बंधी होती हैं, इसलिए example.com के लिए बनाई गई क्रेडेंशियल किसी मिलती-जुलती नकली साइट पर काम नहीं करेगी।
निष्कर्ष स्पष्ट है: फ़िशिंग-रोधी क्रेडेंशियल को फ़िशिंग-योग्य क्रेडेंशियल से बदलना एक घाटे का सौदा है। जहाँ साइटें समर्थन करती हैं, उपयोगकर्ताओं को पासकी का उपयोग जारी रखने की सलाह दी जाती है।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित