Passkeysは罠ではない——誤解を招く主張に反論する

Passkeys Are Not a Trap

Passkeysを「罠」と断じる記事が話題だが、その主張は技術的な誤解に基づいている。一般ユーザーが使う同期型Passkeysはattestationを返さず、サイトが要求しても`none`となる。YubiKeyこそがattestationを行うハードウェアキーであり、TOTPはフィッシングに弱い。Passkeysはドメインに紐づくため、フィッシング耐性があり、アカウント保護に有効だ。筆者は自身の経験を挙げ、Passkeysの利用を推奨している。