一篇在Hacker News上广泛传播的帖子声称通行密钥是一个陷阱，并敦促非技术用户改回使用TOTP验证码和密码。该帖子认为，通行密钥的认证（attestation）功能让网站可以要求使用经过批准的软件、操作系统和硬件，最终使用户无法修改设备或共享账户。
这篇反驳文章的作者是一个开源通行密钥库的开发者，他表示这一观点误解了实际运作方式。存储在iCloud钥匙串、Google密码管理器、1Password或Bitwarden中的同步通行密钥根本不提供认证。如果一个面向消费者的网站要求经过认证的通行密钥，将会把几乎所有自身用户拒之门外。认证（如果存在）仅通过AAGUID和厂商证书链识别验证器的品牌和型号，并不涉及操作系统、浏览器、扩展程序或固件。
该帖子还建议使用Yubi Key等硬件密钥以避免认证，但Yubi Key恰恰是执行认证的设备。与此同时，该帖子却称赞TOTP，而TOTP仍然容易受到Evilginx等钓鱼工具包的攻击，这些工具会实时将验证码转发给真正的网站。通行密钥与其域名绑定，因此为example.com创建的凭据无法在仿冒网站上使用。
结论很明确：用一个可抗钓鱼的凭据换取一个可被钓鱼的凭据，是一笔糟糕的交易。建议用户在网站支持的情况下继续使用通行密钥。
来源: Hacker News · 由HeadlinesBriefing整理摘要