Uma publicação amplamente compartilhada no Hacker News afirma que as chaves de acesso são uma armadilha e insta usuários não técnicos a voltarem aos códigos TOTP e às senhas. A publicação argumenta que a attestation das chaves de acesso permite que sites exijam software, sistemas operacionais e hardware aprovados, o que acabaria impedindo os usuários de fazer modificações e de compartilhar contas.
O autor da réplica, que escreveu uma biblioteca de chaves de acesso de código aberto, diz que isso entende mal o funcionamento. As chaves de acesso sincronizadas armazenadas no iCloud Keychain, no Google Password Manager, no 1Password ou no Bitwarden não fornecem attestation, e um site de consumo que exigisse chaves de acesso com attestation excluiria quase todos os seus próprios usuários. Quando existe, a attestation apenas identifica a marca e o modelo do autenticador por meio do AAGUID e da cadeia de certificados do fabricante. Ela não diz nada sobre o sistema operacional, o navegador, as extensões ou o firmware.
A publicação também recomenda chaves de hardware, como a Yubi Key, para evitar a attestation, mas as Yubi Keys são justamente os dispositivos que a realizam. Enquanto isso, a publicação elogia o TOTP, que continua vulnerável a kits de phishing como o Evilginx, que repassam os códigos ao site real em tempo real. As chaves de acesso são vinculadas ao seu domínio, então uma credencial criada para example.com não funcionará em um site parecido.
O veredicto é claro: trocar uma credencial resistente ao phishing por uma vulnerável a ele é uma má troca. Os usuários são aconselhados a continuar usando chaves de acesso sempre que os sites as suportarem.
Fonte: Hacker News · Resumido por HeadlinesBriefing