Passkeys — не ловушка: почему отказ от них делает вас уязвимее

Passkeys Are Not a Trap

Ответ на вирусный пост «Passkeys — это ловушка». Скотт Хелм разбирает аргумент об аттестации: синхронизируемые passkeys в iCloud Keychain, Google Password Manager, 1Password и Bitwarden вообще не передают сайтам аттестацию — возвращается none. Аттестация лишь сообщает модель аутентификатора по AAGUID, а не ОС, браузер или прошивку. Рекомендация YubiKey противоречива: именно эти ключи и используют аттестацию. TOTP уязвим для фишинга, а passkeys привязаны к домену и решают эту проблему.