Η παρανόηση γύρω από το attestation
Η πρόσφατη κριτική που παρουσιάζει τα passkeys ως εργαλείο ελέγχου των χρηστών βασίζεται σε μια θεμελιώδη παρερμηνεία του WebAuthn attestation. Στην πράξη, οι περισσότεροι πάροχοι (iCloud Keychain, 1Password, κ.λπ.) επιστρέφουν none ως τιμή attestation. Ακόμη και όταν χρησιμοποιείται, το attestation περιορίζεται στην επιβεβαίωση του κατασκευαστή και του μοντέλου του authenticator μέσω του AAGUID, χωρίς να αποκαλύπτει πληροφορίες για το λειτουργικό σύστημα, το firmware ή την κατάσταση ασφαλείας (π.χ. root/jailbreak) της συσκευής.
Η αντίφαση των hardware keys
Είναι ειρωνικό το γεγονός ότι οι πολέμιοι των passkeys προτείνουν συχνά τα hardware security keys ως ασφαλέστερη εναλλακτική. Τα κλειδιά αυτά είναι ακριβώς οι συσκευές που κάνουν τη μεγαλύτερη χρήση του attestation, καθώς διαθέτουν πιστοποιητικά από τον κατασκευαστή τους. Η χρήση τους σε εταιρικά περιβάλλοντα επιβάλλεται ακριβώς για να διασφαλιστεί ότι χρησιμοποιείται εγκεκριμένο hardware, γεγονός που έρχεται σε πλήρη αντίθεση με το επιχείρημα περί «ελευθερίας» που προβάλλεται.
Γιατί το TOTP δεν αρκεί πλέον
Το Time-based One-Time Password (TOTP) θεωρείται λανθασμένα ως μια «ασφαλής» λύση. Ωστόσο, η φύση του επιτρέπει την υποκλοπή μέσω phishing kits (όπως το Evilginx), τα οποία λειτουργούν ως proxy σε πραγματικό χρόνο. Αντίθετα, τα passkeys χρησιμοποιούν κρυπτογραφία δημόσιου κλειδιού (public-key cryptography) και είναι δεσμευμένα στο domain. Αυτό σημαίνει ότι ο browser αρνείται να εκτελέσει το challenge σε οποιοδήποτε site δεν αντιστοιχεί στο αρχικό domain, καθιστώντας την απάτη πρακτικά αδύνατη για τον τελικό χρήστη.
Συμπέρασμα για τους επαγγελματίες
Η υιοθέτηση των passkeys αποτελεί το σημαντικότερο βήμα για την εξάλειψη των κωδικών πρόσβασης (passwordless authentication). Παρά τις θεωρητικές ανησυχίες για μελλοντικές καταχρήσεις του attestation, η αποφυγή τους σήμερα αφήνει τους χρήστες εκτεθειμένους σε υπαρκτές και καθημερινές απειλές, όπως το phishing και το credential stuffing.