为什么我不喜欢 passkeys？
I don't like passkeys
过去几年，Google 和 Microsoft 等科技巨头一直在大力推广 passkeys，声称这是登录的终极解决方案。然而，我认为对于个人用户而言，passkeys 目前并不成熟。虽然它能有效防止钓鱼攻击，但却带来了永久账号锁定、设备丢失和自动化封号等更高风险。无论是硬件密钥的容量限制，还是 Apple 和 Google 账号被禁后导致的所有 passkeys 丢失，都让个人用户陷入被动。相比之下，将随机生成的密码存储在 Bitwarden 等第三方密码管理器中，配合 TOTP 应用，反而能给予用户更大的掌控权。对于大多数不再重复使用密码的用户来说，盲目转向 passkeys 可能是一次倒退。
对于大多数人来说，passkeys 带来的恢复和锁定风险，比 AiTM 代理构成的日常威胁更大。
HN 评论区
786- drtz
Passkeys 确实能略微提升针对中间人攻击和钓鱼攻击的安全性，但它们主要是为了保护那些“最低公分母”用户不受自己伤害：那些重复使用密码和/或不使用密码管理器的人。
如果你一天内使用多台设备，在所有这些系统中注册 Passkeys 会变得非常头疼，复杂度高达 O(m*n)，因此将 Passkeys 存入密码管理器是唯一现实的解决方案。但这仍然破坏了非常常见的使用场景下的登录流程：我该如何在一台我不拥有的设备上登录？使用密码管理器里的密码，我至少还有手动输入密码的选项。
然而最大的问题在于，用户是在没有任何警告或知情权的情况下被强行推入这个体系的。过去我仅仅因为点了几次“确定”按钮就误设了 Passkeys，结果在另一台电脑上被锁在登录界面之外，不得不回头去搞明白如何撤销（我刚才到底是在哪台电脑上？）。
- hannasanarion
关于第三方管理器支持糟糕这一点真是让人抓狂。因为这才是正确的方向，也是普通用户的明显解决方案，但 Passkeys 的实现方似乎完全不知道该如何处理它。
Amazon 每次我登录时都提示我创建 Passkey，哪怕我刚刚就是用 Passkey 登录的，原因仅仅是我的 Passkeys 存在 Bitwarden 里，而不是存在我的操作系统或浏览器中。
而且这种令人困惑的机制也带来了伤害：我总是有点担心，因为我把它们保存在所有设备共享的保险库中，而不是 TPM 中，所以我反而处于更大的危险之中。因为每当协议被解释时，“它不能离开你的设备”这一部分总是被强调为安全性的主要来源，可是……我的显然确实离开了我的设备，随着保险库一起……所以……
- TeMPOraL
观点非常扎实，我也很欣赏文中强调 Passkeys 针对的是对普通人无关紧要的威胁，却忽略了真正重要的威胁。但我认为这仍然不完整，因为它遗漏了设计中最大的盲区：
密码共享是一个功能，而不是漏洞。
安全行业未能实现个人访问控制中最基本的功能，即权限委托。物理安全形式的“持有者”设备，如钥匙、信用卡/借记卡、交通票（除了那些绑定照片身份证的新式票证）等，默认都支持这一点。
临时的权限委托是一件很正常的事，是我们经常做却无需思考的事情。让你的孩子或朋友帮你买杂货？你把借记卡给他们并告知 PIN 码。需要保姆从学校接孩子并照看直到你回来？你给他们配一把家门钥匙。
这一点很自然地延伸到了技术领域。同事需要获取只存在于你机器上的某些数据，而你刚好不在？在正常的非企业环境中，你只需把密码写在便利贴上给他们，或者放进抽屉并告诉他们去那里找。
安全行业四十多年来未能提供合理的替代方案，反而继续否认临时权限委托需求的根本存在。Passkeys 对普通用户来说是个糟糕的选择，很大程度上是因为它们的设计初衷就是……
- nunez
我恭敬地表示不同意作者的观点！
Passkeys 带来了巨大的生活质量提升。是的，如果你失去了对 Passkey 的访问权限，确实存在被锁出的极小风险（尽管我使用过的几乎所有实施 Passkeys 的网站都将其作为传统用户名/密码认证流程的补充），但一般来说，大多数人使用 iCloud 或 Google 账户来存储 Passkeys，由于这些账户到处同步，这实际上并不是真正的风险。
我喜欢不再需要处理 1Password 自动填充不稳定的问题，也不必在这些网站上复制粘贴密码/口令/OTP。
我也喜欢 Yubikeys，但在处理多台设备时，它们相比之下超级不方便。它们的设置通常也非常不友好；与 Passkeys 相比更是如此。
现在，我真正 F'IN 希望消失的是无密码/魔法链接认证流程，即通过点击发送到邮箱或短信收件箱的魔法链接来认证。
“邮件超级容易被黑，我们也不确定在美国运营商上发送短信是否安全，所以让我们所有人都点击通过邮件或短信发送的链接，这样他们就不必处理 iOS 或 Android 会自动建议的那些烦人的密码。”拜托，什么鬼？
- elteto
虽然这项技术本身可能很棒（我不太确定，因为我不使用它们），但它已被科技巨头挪用，成为将用户隔离并封闭在他们生态系统中的另一种形式。
老实说，如今如果科技公司极力推广某样东西，那对我来说就是立即亮起的红灯，需要更严格的审视。这就是那种“如果你看到他们朝那个方向跑，你就朝相反方向跑”的情况。
- littlecranky67
我试图抵制 Passkeys，原因是标准中内置的认证（attestation）功能。虽然现在尚未激活，但鉴于 Google 和 Apple 已经利用 Passkey 功能将你锁定在他们的生态系统中，他们的服务迟早会要求 Passkey 必须来自未 Root 的 Google 或 Apple 设备。我认为这对 Google 尤其如此，旨在防止 AI 爬虫机器人。一旦 Passkeys 被广泛使用，开启此功能无需任何操作，Apple、Google 及其同类公司只需翻转一个开关即可。
- joshstrange
我继续避免使用 Passkeys，但这正变成一个极其密集的雷区。某些网站每次登录时都试图诱骗我添加一个，我必须小心地先关闭 1Password 的提示，然后关闭 Chrome 的提示，最后关闭操作系统级别的提示（全部接踵而至）。这真是极其反用户。
- Liftyee
没错。完全就是这样。我在多台设备上工作，其中一些是非标准或不常见的设备（Linux、小米中国版 ROM 等），我从未见过 Passkeys 正常工作——然而所有东西却不断提示我添加一个。即使它们能工作，我也得随身携带硬件密钥或为每台电脑单独注册。而且如果设备丢失或损坏，缺乏备份对我来说绝对是比 TOTP 密钥被盗更大的担忧。
- kenrick95
Passkeys 存在一个营销问题，即没人能用简单的语言描述它是什么，而不必使用技术术语。还有一个问题是，每个操作系统都太努力地将这东西强推给终端用户。
- vanschelven
Passkeys 让我想起了 ipv6，因为它们都是来自供应方的“解决方案”，似乎根本没有研究过是什么驱动了实际用户（以及什么会促使他们切换）。
<<duck>>