Passkeys Are Not a Trap

A widely shared Hacker News post claims passkeys are a trap and urges non-technical users to return to TOTP codes and passwords. The post argues that passkey attestation lets websites demand approved software, operating systems and hardware, eventually locking users out of modifications and shared accounts.

The author of the rebuttal, who wrote an open-source passkeys library, says this misunderstands how things work. Synced passkeys stored in iCloud Keychain, Google Password Manager, 1Password or Bitwarden do not provide attestation at all, and a consumer site requiring attested passkeys would lock out nearly all of its own users. Attestation, where present, only identifies the make and model of an authenticator via its AAGUID and vendor certificate chain. It says nothing about the operating system, browser, extensions or firmware.

The post also recommends hardware keys like a Yubi Key to avoid attestation, yet Yubi Keys are the very devices that perform it. Meanwhile, the post praises TOTP, which remains vulnerable to phishing kits such as Evilginx that relay codes to the real site in real time. Passkeys are bound to their domain, so a credential created for example.com will not work on a lookalike site.

The verdict is clear: swapping a phishing-resistant credential for a phishable one is a poor trade. Users are advised to keep using passkeys wherever sites support them.

تزعم منشورة واسعة الانتشار على موقع Hacker News أن مفاتيح المرور فخ، وتحث المستخدمين غير التقنيين على العودة إلى رموز TOTP وكلمات المرور. يجادل المنشور بأن attestation مفاتيح المرور تتيح للمواقع المطالبة ببرامج وأنظمة تشغيل وأجهزة معتمدة، مما قد يؤدي في النهاية إلى حرمان المستخدمين من التعديل ومن الحسابات المشتركة.

يقول كاتب الرد، وهو مطور مكتبة مفاتيح مرور مفتوحة المصدر، إن هذا الطرح يسيء فهم طريقة العمل. فمفاتيح المرور المزامنة المخزنة في iCloud Keychain أو Google Password Manager أو 1Password أو Bitwarden لا توفر أي attestation، وسيؤدي أي موقع استهلاكي يشترط مفاتيح مرور معتمدة إلى استبعاد معظم مستخدميه. وحيثما وُجدت، لا تحدد attestation سوى الشركة المصنعة وطراز جهاز التوثيق عبر AAGUID وسلسلة شهادات البائع، ولا تقول شيئًا عن نظام التشغيل أو المتصفح أو الإضافات أو البرامج الثابتة.

كما يوصي المنشور بمفاتيح الأجهزة مثل Yubi Key لتجنب attestation، مع أن مفاتيح Yubi هي نفسها الأجهزة التي تنفذ هذه العملية. وفي المقابل، يثني المنشور على TOTP، الذي لا يزال عرضة لأدوات التصيد مثل Evilginx التي تنقل الرموز إلى الموقع الحقيقي في الوقت الفعلي. أما مفاتيح المرور فهي مرتبطة بنطاقها، لذلك لن تعمل بيانات الاعتماد المنشأة لـ example.com على موقع مشابه.

الحكم واضح: استبدال بيانات اعتماد مقاومة للتصيد ببيانات قابلة للتصيد صفقة سيئة. وينصح المستخدمون بمواصلة استخدام مفاتيح المرور حيثما تدعمها المواقع.

Hacker News-এ ব্যাপকভাবে শেয়ার হওয়া একটি পোস্ট দাবি করে যে পাসকি একটি ফাঁদ এবং অপ্রযুক্তিগত ব্যবহারকারীদের TOTP কোড ও পাসওয়ার্ডে ফিরে যেতে আহ্বান জানায়। পোস্টটির যুক্তি হলো, পাসকির attestation ওয়েবসাইটগুলোকে অনুমোদিত সফটওয়্যার, অপারেটিং সিস্টেম ও হার্ডওয়্যার দাবি করার সুযোগ দেয়, যা শেষ পর্যন্ত ব্যবহারকারীদের পরিবর্তন করা এবং শেয়ার করা অ্যাকাউন্ট থেকে বাদ দিয়ে দেয়।

প্রতিবাদ লেখক, যিনি একটি ওপেন-সোর্স পাসকি লাইব্রেরি লিখেছেন, বলেন যে এই ধারণাটি ভুলভাবে বোঝা হয়েছে। iCloud Keychain, Google Password Manager, 1Password বা Bitwarden-এ সংরক্ষিত সিঙ্ক করা পাসকি কোনো attestation প্রদান করে না, এবং যে ভোক্তা সাইট attested পাসকি দাবি করবে, সে নিজের প্রায় সব ব্যবহারকারীকেই বাদ দিয়ে দেবে। যেখানে attestation থাকে, সেখানে এটি শুধু AAGUID ও বিক্রেতার সনদ শৃঙ্খলের মাধ্যমে authenticator-এর প্রস্তুতকারক ও মডেল শনাক্ত করে। এটি অপারেটিং সিস্টেম, ব্রাউজার, এক্সটেনশন বা ফার্মওয়্যার সম্পর্কে কিছু বলে না।

পোস্টটি attestation এড়াতে Yubi Key-এর মতো হার্ডওয়্যার কী-র পরামর্শও দেয়, অথচ Yubi Key গুলোই attestation সম্পন্ন করে। একই সঙ্গে পোস্টটি TOTP-এর প্রশংসা করে, যা Evilginx-এর মতো ফিশিং কিটের কাছে এখনও দুর্বল, যা কোড সঙ্গে সঙ্গে আসল সাইটে পৌঁছে দেয়। পাসকি তাদের ডোমেইনের সঙ্গে আবদ্ধ, তাই example.com-এর জন্য তৈরি একটি ক্রেডেনশিয়াল কোনো নকল সাইটে কাজ করবে না।

রায় স্পষ্ট: ফিশিং-প্রতিরোধী ক্রেডেনশিয়াল বদলে ফিশিং-সাপেক্ষ ক্রেডেনশিয়াল নেওয়া একটি খারাপ লেনদেন। সাইটগুলো সমর্থন করলে ব্যবহারকারীদের পাসকি ব্যবহার চালিয়ে যাওয়ার পরামর্শ দেওয়া হচ্ছে।

Ein weit verbreiteter Beitrag auf Hacker News behauptet, Passkeys seien eine Falle, und fordert nicht-technische Nutzer auf, zu TOTP-Codes und Passwörtern zurückzukehren. Der Beitrag argumentiert, dass die Attestation von Passkeys es Websites erlaube, zugelassene Software, Betriebssysteme und Hardware zu verlangen, sodass Nutzer am Ende von Änderungen und gemeinsam genutzten Konten ausgeschlossen würden.

Der Autor der Entgegnung, der eine Open-Source-Bibliothek für Passkeys geschrieben hat, sagt, dies sei ein Missverständnis der Funktionsweise. Synchronisierte Passkeys, die im iCloud-Schlüsselbund, im Google Passwortmanager, in 1Password oder Bitwarden gespeichert werden, liefern überhaupt keine Attestation. Eine Verbraucherseite, die attestierte Passkeys verlangt, würde nahezu alle eigenen Nutzer aussperren. Wo eine Attestation vorhanden ist, identifiziert sie lediglich Hersteller und Modell des Authentifikators über die AAGUID und die Zertifikatskette des Anbieters. Sie sagt nichts über Betriebssystem, Browser, Erweiterungen oder Firmware aus.

Der Beitrag empfiehlt außerdem Hardware-Schlüssel wie einen Yubi Key, um die Attestation zu umgehen, doch genau diese Geräte führen die Attestation durch. Gleichzeitig lobt der Beitrag TOTP, das weiterhin anfällig für Phishing-Kits wie Evilginx ist, die Codes in Echtzeit an die echte Seite weiterleiten. Passkeys sind an ihre Domain gebunden, sodass eine für example.com erstellte Zugangsdaten auf einer täuschend ähnlichen Seite nicht funktioniert.

Das Fazit ist eindeutig: Eine phishingresistente Zugangsdaten gegen eine phishingfähige einzutauschen, ist ein schlechtes Geschäft. Nutzern wird geraten, Passkeys weiterhin dort zu verwenden, wo Websites sie unterstützen.

Una publicación muy difundida en Hacker News afirma que las claves de acceso son una trampa e insta a los usuarios no técnicos a volver a los códigos TOTP y a las contraseñas. La publicación sostiene que la attestation de las claves de acceso permite a los sitios web exigir software, sistemas operativos y hardware aprobados, lo que acabaría bloqueando a los usuarios para realizar modificaciones y compartir cuentas.

El autor de la réplica, que escribió una biblioteca de claves de acceso de código abierto, afirma que esto malinterpreta el funcionamiento. Las claves de acceso sincronizadas almacenadas en el llavero de iCloud, Google Password Manager, 1Password o Bitwarden no proporcionan attestation en absoluto, y un sitio de consumo que exigiera claves de acceso con attestation dejaría fuera a casi todos sus propios usuarios. La attestation, cuando existe, solo identifica la marca y el modelo del autenticador mediante su AAGUID y la cadena de certificados del fabricante. No dice nada sobre el sistema operativo, el navegador, las extensiones ni el firmware.

La publicación también recomienda llaves de hardware como una Yubi Key para evitar la attestation, pero las Yubi Key son precisamente los dispositivos que la realizan. Mientras tanto, la publicación elogia los TOTP, que siguen siendo vulnerables a kits de phishing como Evilginx, que retransmiten los códigos al sitio real en tiempo real. Las claves de acceso están vinculadas a su dominio, por lo que una credencial creada para example.com no funcionará en un sitio parecido.

El veredicto es claro: cambiar una credencial resistente al phishing por otra vulnerable es un mal negocio. Se aconseja a los usuarios que sigan utilizando claves de acceso siempre que los sitios las admitan.

Une publication largement partagée sur Hacker News affirme que les clés d'accès sont un piège et exhorte les utilisateurs non techniques à revenir aux codes TOTP et aux mots de passe. Selon cette publication, l'attestation des clés d'accès permet aux sites web d'exiger des logiciels, des systèmes d'exploitation et du matériel approuvés, ce qui finirait par empêcher les utilisateurs de modifier leurs appareils ou de partager des comptes.

L'auteur de la réponse, qui a écrit une bibliothèque open source de clés d'accès, affirme que cela constitue un contresens. Les clés d'accès synchronisées stockées dans le Trousseau iCloud, Google Password Manager, 1Password ou Bitwarden ne fournissent aucune attestation, et un site grand public exigeant des clés d'accès attestées exclurait presque tous ses propres utilisateurs. Lorsqu'elle existe, l'attestation identifie seulement la marque et le modèle de l'authentificateur, via son AAGUID et la chaîne de certificats du fabricant. Elle ne dit rien du système d'exploitation, du navigateur, des extensions ou du micrologiciel.

La publication recommande aussi des clés matérielles comme une Yubi Key pour éviter l'attestation, alors que les Yubi Key sont justement les appareils qui la réalisent. Dans le même temps, elle fait l'éloge du TOTP, qui reste vulnérable aux kits de phishing comme Evilginx, lesquels transmettent les codes au vrai site en temps réel. Les clés d'accès sont liées à leur domaine : un identifiant créé pour example.com ne fonctionnera pas sur un site imitant ce dernier.

Le verdict est clair : remplacer un identifiant résistant au phishing par un identifiant vulnérable au phishing est un mauvais compromis. Les utilisateurs sont invités à continuer d'utiliser les clés d'accès partout où les sites les prennent en charge.

Hacker News पर व्यापक रूप से साझा की गई एक पोस्ट दावा करती है कि पासकी एक जाल है और गैर-तकनीकी उपयोगकर्ताओं से TOTP कोड और पासवर्ड की ओर लौटने का आग्रह करती है। पोस्ट का तर्क है कि पासकी का attestation वेबसाइटों को स्वीकृत सॉफ़्टवेयर, ऑपरेटिंग सिस्टम और हार्डवेयर की माँग करने देता है, जिससे अंततः उपयोगकर्ता संशोधन और साझा खातों से बाहर हो जाते हैं।

खंडन के लेखक, जिन्होंने एक ओपन-सोर्स पासकी लाइब्रेरी लिखी है, कहते हैं कि यह तरीका गलत समझा गया है। iCloud Keychain, Google Password Manager, 1Password या Bitwarden में संग्रहीत सिंक की गई पासकी कोई attestation प्रदान नहीं करतीं, और जो उपभोक्ता साइट attested पासकी की माँग करेगी, वह अपने लगभग सभी उपयोगकर्ताओं को बाहर कर देगी। जहाँ attestation मौजूद है, वह केवल AAGUID और विक्रेता प्रमाणपत्र शृंखला के माध्यम से authenticator का निर्माता और मॉडल बताता है। यह ऑपरेटिंग सिस्टम, ब्राउज़र, एक्सटेंशन या फ़र्मवेयर के बारे में कुछ नहीं कहता।

पोस्ट attestation से बचने के लिए Yubi Key जैसी हार्डवेयर कुंजियों की सलाह भी देती है, फिर भी Yubi Key वही उपकरण हैं जो attestation करते हैं। इसी बीच, पोस्ट TOTP की प्रशंसा करती है, जो अब भी Evilginx जैसी फ़िशिंग किटों के प्रति संवेदनशील है, जो कोड को वास्तविक समय में असली साइट तक पहुँचा देती हैं। पासकी अपने डोमेन से बंधी होती हैं, इसलिए example.com के लिए बनाई गई क्रेडेंशियल किसी मिलती-जुलती नकली साइट पर काम नहीं करेगी।

निष्कर्ष स्पष्ट है: फ़िशिंग-रोधी क्रेडेंशियल को फ़िशिंग-योग्य क्रेडेंशियल से बदलना एक घाटे का सौदा है। जहाँ साइटें समर्थन करती हैं, उपयोगकर्ताओं को पासकी का उपयोग जारी रखने की सलाह दी जाती है।

Sebuah unggahan yang banyak dibagikan di Hacker News menyatakan bahwa passkey adalah jebakan dan mendesak pengguna non-teknis untuk kembali ke kode TOTP dan kata sandi. Unggahan tersebut berargumen bahwa attestation passkey memungkinkan situs web menuntut perangkat lunak, sistem operasi, dan perangkat keras yang disetujui, yang pada akhirnya membuat pengguna terkunci dari modifikasi dan akun bersama.

Penulis bantahan tersebut, yang menulis pustaka passkey open-source, mengatakan bahwa ini salah memahami cara kerjanya. Passkey tersinkronisasi yang disimpan di iCloud Keychain, Google Password Manager, 1Password, atau Bitwarden sama sekali tidak menyediakan attestation, dan situs konsumen yang mewajibkan passkey ter-attested akan mengunci hampir semua penggunanya sendiri. Jika attestation ada, ia hanya mengidentifikasi merek dan model authenticator melalui AAGUID dan rantai sertifikat vendor. Ia tidak mengatakan apa pun tentang sistem operasi, browser, ekstensi, atau firmware.

Unggahan itu juga merekomendasikan kunci perangkat keras seperti Yubi Key untuk menghindari attestation, padahal Yubi Key justru perangkat yang melakukan attestation tersebut. Sementara itu, unggahan tersebut memuji TOTP, yang tetap rentan terhadap kit phishing seperti Evilginx yang meneruskan kode ke situs asli secara real time. Passkey terikat pada domainnya, sehingga kredensial yang dibuat untuk example.com tidak akan berfungsi di situs yang mirip.

Kesimpulannya jelas: menukar kredensial yang tahan phishing dengan kredensial yang bisa di-phishing adalah pertukaran yang buruk. Pengguna disarankan terus menggunakan passkey di mana pun situs mendukungnya.

Hacker Newsで広く共有された投稿は、パスキーは罠であり、技術に詳しくないユーザーはTOTPコードやパスワードに戻るべきだと主張しています。投稿によれば、パスキーのattestationによって、ウェブサイトは承認されたソフトウェア、オペレーティングシステム、ハードウェアを要求でき、最終的にユーザーは変更や共有アカウントの利用から締め出されてしまうといいます。

オープンソースのパスキーライブラリを開発した反論の筆者は、この主張は仕組みを誤解していると述べています。iCloud Keychain、Google Password Manager、1Password、Bitwardenに保存される同期型パスキーはattestationを一切提供せず、attestedパスキーを要求する消費者向けサイトは、自社のユーザーのほぼ全員を締め出すことになります。attestationがある場合でも、それはAAGUIDとベンダーの証明書チェーンを通じて認証器のメーカーと機種を識別するだけであり、オペレーティングシステム、ブラウザ、拡張機能、ファームウェアについては何も示しません。

また、投稿はattestationを避けるためにYubi Keyなどのハードウェアキーを推奨していますが、Yubi Keyこそがattestationを実行するデバイスです。一方で、投稿はTOTPを評価していますが、TOTPはEvilginxのようなフィッシングキットに対して依然として脆弱で、これらのキットはコードをリアルタイムで本物のサイトに中継します。パスキーはドメインに紐付けられているため、example.com向けに作成された認証情報は、偽装サイトでは機能しません。

結論は明確です。フィッシング耐性のある認証情報を、フィッシングされやすいものに置き換えるのは割に合わない取引です。ユーザーは、サイトが対応している限りパスキーを使い続けることが推奨されます。

Uma publicação amplamente compartilhada no Hacker News afirma que as chaves de acesso são uma armadilha e insta usuários não técnicos a voltarem aos códigos TOTP e às senhas. A publicação argumenta que a attestation das chaves de acesso permite que sites exijam software, sistemas operacionais e hardware aprovados, o que acabaria impedindo os usuários de fazer modificações e de compartilhar contas.

O autor da réplica, que escreveu uma biblioteca de chaves de acesso de código aberto, diz que isso entende mal o funcionamento. As chaves de acesso sincronizadas armazenadas no iCloud Keychain, no Google Password Manager, no 1Password ou no Bitwarden não fornecem attestation, e um site de consumo que exigisse chaves de acesso com attestation excluiria quase todos os seus próprios usuários. Quando existe, a attestation apenas identifica a marca e o modelo do autenticador por meio do AAGUID e da cadeia de certificados do fabricante. Ela não diz nada sobre o sistema operacional, o navegador, as extensões ou o firmware.

A publicação também recomenda chaves de hardware, como a Yubi Key, para evitar a attestation, mas as Yubi Keys são justamente os dispositivos que a realizam. Enquanto isso, a publicação elogia o TOTP, que continua vulnerável a kits de phishing como o Evilginx, que repassam os códigos ao site real em tempo real. As chaves de acesso são vinculadas ao seu domínio, então uma credencial criada para example.com não funcionará em um site parecido.

O veredicto é claro: trocar uma credencial resistente ao phishing por uma vulnerável a ele é uma má troca. Os usuários são aconselhados a continuar usando chaves de acesso sempre que os sites as suportarem.

Широко распространённый пост на Hacker News утверждает, что passkey — это ловушка, и призывает нетехнических пользователей вернуться к кодам TOTP и паролям. Автор поста считает, что attestation passkey позволяет сайтам требовать одобренное программное обеспечение, операционные системы и оборудование, что в конечном итоге лишит пользователей возможности вносить изменения и пользоваться общими аккаунтами.

Автор ответа, который написал открытую библиотеку для passkey, утверждает, что это неверное понимание принципов работы. Синхронизируемые passkey, хранящиеся в iCloud Keychain, Google Password Manager, 1Password или Bitwarden, вообще не предоставляют attestation, а потребительский сайт, требующий passkey с attestation, исключил бы почти всех своих пользователей. Там, где attestation присутствует, он лишь идентифицирует производителя и модель аутентификатора через AAGUID и цепочку сертификатов поставщика. Он ничего не говорит об операционной системе, браузере, расширениях или прошивке.

В посте также рекомендуются аппаратные ключи, например Yubi Key, чтобы избежать attestation, однако именно Yubi Key и выполняют эту процедуру. При этом пост хвалит TOTP, который по-прежнему уязвим для фишинговых наборов вроде Evilginx, передающих коды настоящему сайту в режиме реального времени. Passkey привязаны к своему домену, поэтому учётные данные, созданные для example.com, не сработают на похожем сайте.

Вывод очевиден: замена устойчивых к фишингу учётных данных на уязвимые к нему — плохая сделка. Пользователям рекомендуется продолжать использовать passkey везде, где это поддерживают сайты.

一篇在Hacker News上广泛传播的帖子声称通行密钥是一个陷阱，并敦促非技术用户改回使用TOTP验证码和密码。该帖子认为，通行密钥的认证（attestation）功能让网站可以要求使用经过批准的软件、操作系统和硬件，最终使用户无法修改设备或共享账户。

这篇反驳文章的作者是一个开源通行密钥库的开发者，他表示这一观点误解了实际运作方式。存储在iCloud钥匙串、Google密码管理器、1Password或Bitwarden中的同步通行密钥根本不提供认证。如果一个面向消费者的网站要求经过认证的通行密钥，将会把几乎所有自身用户拒之门外。认证（如果存在）仅通过AAGUID和厂商证书链识别验证器的品牌和型号，并不涉及操作系统、浏览器、扩展程序或固件。

该帖子还建议使用Yubi Key等硬件密钥以避免认证，但Yubi Key恰恰是执行认证的设备。与此同时，该帖子却称赞TOTP，而TOTP仍然容易受到Evilginx等钓鱼工具包的攻击，这些工具会实时将验证码转发给真正的网站。通行密钥与其域名绑定，因此为example.com创建的凭据无法在仿冒网站上使用。

结论很明确：用一个可抗钓鱼的凭据换取一个可被钓鱼的凭据，是一笔糟糕的交易。建议用户在网站支持的情况下继续使用通行密钥。