Passkeysは個人ユーザーにはまだ早すぎる

サードパーティのマネージャーに対するサポートが貧弱だという点は本当にイライラする。これが正しいからこそ、普通のユーザーにとっては明らかな解決策なのに、パスキーの実装はどういうわけかそれを扱う方法を知らない。

Amazonは、私がパスキーでログインしたときでさえ、ログインするたびにパスキーを作成するように促してくる。私のパスキーはOSやブラウザではなくBitwardenにあるからだ。

そして混乱を招く仕組みもそこに傷をつける：プロトコルが説明されるたびに「デバイスから出られない」という部分がセキュリティの主な源として強調されるので、私はいつも、TPMではなく全デバイスで共有されるVaultにパスキーを入れているせいで、何かとんでもなく危険な目に遭っているのではないかと少し恐れている。でも……私のは明らかにVaultと一緒にデバイスから出て行くので……。

著者に敬意を表して反対します！

Passkeysは生活の質を大幅に向上させてくれました。ええ、パスキーへのアクセスを失った場合のロックアウトのリスクは最小限あります（ただし、私が使ったほぼすべてのサイトは、従来のユーザー名/パスワード認証フローの上にパスキーを載せています）。しかし一般的に言えば、ほとんどの人はiCloudやGoogleアカウントにパスキーを保存しており、それらはどこでも同期されるので、これは実際のリスクではありません。

1Passwordの自動入力が不安定で、これらのサイトでパスワード/パスフレーズ/OTPをCMD-C/CMD-Vしなければならないという煩わしさから解放されるのが大好きです。

YubiKeysも好きですが、複数のデバイスを扱う場合、比較にならないほど不便です。設定も一般的に非常にユーザーフレンドリーではなく、パスキーと比べればなおさらです。

さて、私が本当に本当に消えてほしいのは、メールやテキストメッセージの受信トレイに送られてくるマジックリンクをクリックして認証する、パスワードレス/マジックリンク認証フローです。

「メールはハッキングが非常に簡単で、テキストメッセージが米国のキャリアで送信しても安全かどうかまだ確信が持てないので、iOSやAndroidが自動的に提案してくれる厄介なパスワードに対処しなくて済むように、全員にメールやテキストで送られたリンクをクリックさせよう。」って、何なの？

複数のサイト（例えばMicrosoft）が、ユーザー名を入力した後にパスキーを使ってログインするように求めてくるが、そのパスキーはどこにも保存されていないようだ。通常、QRコードをスキャンして携帯電話にあるか確認するが、否定的な答えが返ってくる。その後、すでに使う準備ができていた通常のパスワード+2FAの儀式を経なければならない。その後、現在使用しているデバイスや携帯電話にパスキーを保存するオプションは与えられない。次回も同じプロセスが繰り返される。パスキーを使うのは本当に楽しい。

実際にパスキーでログインできるサイトは2つだけだと思う。

また、ポップアップがいつもあまりに自動的で邪魔なのも嫌だ。他のログイン方法のようにボタンにすればいいのに？

技術自体は素晴らしいかもしれない（使っていないのでよくわからないが）、それはテックコングロマリットによって、ユーザーを彼らのエコシステムに隔離し囲い込む別の形態として取り込まれてしまった。

そして正直なところ、今日では、テック企業が何かを本当に強く推し進めているなら、それは私にとって即座に危険信号であり、より一層の精査に値する。「彼らがそっちへ走っているのを見たら、反対方向へ走れ」というやつの一つだ。

標準に組み込まれたattestation機能のせいで、私はパスキーをボイコットしようとしている。今はアクティブではないが、Google+Appleがすでにパスキー機能を使ってユーザーを自社のエコシステムに囲い込んでいることを考えると、彼らのサービスがパスキーがルート化されていないGoogleまたはAppleデバイスからattestationされていることを要求するようになるのは時間の問題だ。特にGoogleはAIスクレイピングボットを防ぐためにこれを真実にするだろうと思う。パスキーが広く使われるようになれば、これをオンにするのに何も必要なく、Apple、Googleなどは単にスイッチを入れるだけで済む。

私はパスキーを避け続けているが、それは信じられないほど密度の濃い地雷原になりつつある。特定のサイトは、私がログインするたびにパスキーを追加するよう騙そうとしてきて、私は1Passwordのプロンプトを閉じ、次にChromeのプロンプトを閉じ、次にOSレベルのプロンプトを閉じる（すべて連続して）ように注意しなければならない。実にユーザーに敵対的だ。

そう、まさにこれ。私は複数のデバイス（Linux、Xiaomi China ROMなど、非標準的/珍しいものもある）で作業しているが、パスキーがきちんと機能したことは一度もない。それなのに、常に追加するよう促される。たとえ機能したとしても、ハードウェアキーを持ち歩くか、各コンピュータを個別に登録しなければならないだろう。そして、デバイスを紛失/破損した場合のバックアップの欠如は、TOTPキーをフィッシングされるよりも私にとっては間違いなく大きな懸念だ。

> 個人にとって、最大のリスクは代わりに永久的なアカウントロックアウト、自動アカウント停止、デバイス紛失である。パスキーを使うことで、中間者攻撃に対するセキュリティは向上するが、アカウントへのアクセスを失うというより高い確率のシナリオに直面する。

この見解がより主流になるのを見て嬉しい。パスキーはグロテスクに安全でない。

フィッシング攻撃がロックアウトよりも一般的でより損害が大きい場合にのみ、それらをより安全と見なすことが可能だが、それはあまりに非現実的なので、誰かが誠意を持ってその立場を取ることができるとは思わない。

企業環境では、ユーザーのパスキーデバイスが故障した場合、それはビジネスの問題だ。個人環境では、それはユーザーの問題だ。企業環境における専門知識と予防プロセスは個人の文脈には存在せず、何か問題が起きたときにGoogleやAppleに「お願いします」と言うのは通常時間の無駄だ。TFAに100%同意する――パスキーでは「損害期待値」がおそらく高い。