Sebuah unggahan yang banyak dibagikan di Hacker News menyatakan bahwa passkey adalah jebakan dan mendesak pengguna non-teknis untuk kembali ke kode TOTP dan kata sandi. Unggahan tersebut berargumen bahwa attestation passkey memungkinkan situs web menuntut perangkat lunak, sistem operasi, dan perangkat keras yang disetujui, yang pada akhirnya membuat pengguna terkunci dari modifikasi dan akun bersama.
Penulis bantahan tersebut, yang menulis pustaka passkey open-source, mengatakan bahwa ini salah memahami cara kerjanya. Passkey tersinkronisasi yang disimpan di iCloud Keychain, Google Password Manager, 1Password, atau Bitwarden sama sekali tidak menyediakan attestation, dan situs konsumen yang mewajibkan passkey ter-attested akan mengunci hampir semua penggunanya sendiri. Jika attestation ada, ia hanya mengidentifikasi merek dan model authenticator melalui AAGUID dan rantai sertifikat vendor. Ia tidak mengatakan apa pun tentang sistem operasi, browser, ekstensi, atau firmware.
Unggahan itu juga merekomendasikan kunci perangkat keras seperti Yubi Key untuk menghindari attestation, padahal Yubi Key justru perangkat yang melakukan attestation tersebut. Sementara itu, unggahan tersebut memuji TOTP, yang tetap rentan terhadap kit phishing seperti Evilginx yang meneruskan kode ke situs asli secara real time. Passkey terikat pada domainnya, sehingga kredensial yang dibuat untuk example.com tidak akan berfungsi di situs yang mirip.
Kesimpulannya jelas: menukar kredensial yang tahan phishing dengan kredensial yang bisa di-phishing adalah pertukaran yang buruk. Pengguna disarankan terus menggunakan passkey di mana pun situs mendukungnya.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing