Passkeys are not a trap
В ответ на вирусную публикацию «Passkeys — это ловушка, не используйте их» автор разбирает её центральный тезис. Утверждается, что passkeys поддерживают аттестацию — криптографическое доказательство того, чем создан ключ, — и сайты якобы будут постепенно ужесточать требования, пока вход не останется только с одобренного ПО на одобренной ОС, без LineageOS и без передачи пароля от Netflix. Вывод: passkeys «не созданы для защиты ваших интересов».
Однако это не соответствует реальности. Большинство используют синхронизируемые passkeys (iCloud Keychain, Google Password Manager, 1Password, Bitwarden), а они вообще не передают аттестацию: в ответ на запрос приходит лишь none. Если потребительский сайт завтра потребует аттестованные ключи, он мгновенно заблокирует почти всех своих пользователей, а рекомендации для таких сайтов уже много лет — вообще не запрашивать аттестацию. Когда аттестация есть, она сообщает лишь производителя и модель аутентификатора по AAGUID с цепочкой сертификатов — ничего об ОС, браузере, расширениях, рут-доступе или прошивке. Особенно странно, что для усиленной защиты советуют YubiKey: именно эти ключи и поставляются с аттестационным сертификатом Yubico.
TOTP тоже шаг назад: код можно ввести на фишинговом сайте, а инструменты вроде Evilginx в реальном времени пересылают пароль и код настоящему сайту, забирая сессию — так происходит множество захватов аккаунтов. Passkeys — лучшее, что есть сейчас, и это не ловушка.