Широко распространённый пост на Hacker News утверждает, что passkey — это ловушка, и призывает нетехнических пользователей вернуться к кодам TOTP и паролям. Автор поста считает, что attestation passkey позволяет сайтам требовать одобренное программное обеспечение, операционные системы и оборудование, что в конечном итоге лишит пользователей возможности вносить изменения и пользоваться общими аккаунтами.
Автор ответа, который написал открытую библиотеку для passkey, утверждает, что это неверное понимание принципов работы. Синхронизируемые passkey, хранящиеся в iCloud Keychain, Google Password Manager, 1Password или Bitwarden, вообще не предоставляют attestation, а потребительский сайт, требующий passkey с attestation, исключил бы почти всех своих пользователей. Там, где attestation присутствует, он лишь идентифицирует производителя и модель аутентификатора через AAGUID и цепочку сертификатов поставщика. Он ничего не говорит об операционной системе, браузере, расширениях или прошивке.
В посте также рекомендуются аппаратные ключи, например Yubi Key, чтобы избежать attestation, однако именно Yubi Key и выполняют эту процедуру. При этом пост хвалит TOTP, который по-прежнему уязвим для фишинговых наборов вроде Evilginx, передающих коды настоящему сайту в режиме реального времени. Passkey привязаны к своему домену, поэтому учётные данные, созданные для example.com, не сработают на похожем сайте.
Вывод очевиден: замена устойчивых к фишингу учётных данных на уязвимые к нему — плохая сделка. Пользователям рекомендуется продолжать использовать passkey везде, где это поддерживают сайты.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing