Hacker Newsで広く共有された投稿は、パスキーは罠であり、技術に詳しくないユーザーはTOTPコードやパスワードに戻るべきだと主張しています。投稿によれば、パスキーのattestationによって、ウェブサイトは承認されたソフトウェア、オペレーティングシステム、ハードウェアを要求でき、最終的にユーザーは変更や共有アカウントの利用から締め出されてしまうといいます。
オープンソースのパスキーライブラリを開発した反論の筆者は、この主張は仕組みを誤解していると述べています。iCloud Keychain、Google Password Manager、1Password、Bitwardenに保存される同期型パスキーはattestationを一切提供せず、attestedパスキーを要求する消費者向けサイトは、自社のユーザーのほぼ全員を締め出すことになります。attestationがある場合でも、それはAAGUIDとベンダーの証明書チェーンを通じて認証器のメーカーと機種を識別するだけであり、オペレーティングシステム、ブラウザ、拡張機能、ファームウェアについては何も示しません。
また、投稿はattestationを避けるためにYubi Keyなどのハードウェアキーを推奨していますが、Yubi Keyこそがattestationを実行するデバイスです。一方で、投稿はTOTPを評価していますが、TOTPはEvilginxのようなフィッシングキットに対して依然として脆弱で、これらのキットはコードをリアルタイムで本物のサイトに中継します。パスキーはドメインに紐付けられているため、example.com向けに作成された認証情報は、偽装サイトでは機能しません。
結論は明確です。フィッシング耐性のある認証情報を、フィッシングされやすいものに置き換えるのは割に合わない取引です。ユーザーは、サイトが対応している限りパスキーを使い続けることが推奨されます。
出典: Hacker News · 要約：HeadlinesBriefing