Passkeys sind keine Falle
Passkeys Are Not a Trap
Ein viel diskutierter Beitrag warnt, Passkeys seien eine Falle, weil Websites per Attestation angeblich nur noch genehmigte Software zulassen könnten. Scott Helme widerspricht: Die meisten Passkeys werden synchronisiert und liefern gar keine Attestation, und die Richtlinien für Verbraucherseiten raten seit Jahren davon ab, sie überhaupt anzufordern. Die Empfehlung, stattdessen auf YubiKeys zu setzen, sei paradox, da gerade diese Hardware Attestation unterstützt. TOTP sei anfällig für Phishing, während Passkeys domänengebunden sind und genau davor schützen.
Wenn eine Verbraucherseite morgen beschließen würde, nur noch attestierte Passkeys zu akzeptieren, würde sie mit einem Schlag fast alle ihre eigenen Nutzer aussperren.