Hacker News Front Page · Scott Helme ·
Passkeys Are Not a Trap
El autor refuta la afirmación de que las passkeys permiten a los sitios exigir pruebas del sistema operativo o del software utilizado: las passkeys sincronizadas habituales no envían datos de attestation, y WebAuthn, cuando sí los incluye, identifica el modelo del autenticador, no el sistema operativo, el navegador ni sus modificaciones. También señala que las YubiKeys sí usan attestation y que TOTP es vulnerable al phishing en tiempo real, mientras que las passkeys están vinculadas al dominio. Recomienda seguir usando passkeys con un proveedor de confianza y oponerse a futuros requisitos de attestation en sitios de consumo si llegan a aparecer.
A post called Passkeys are a trap. Do not use them. has been doing the rounds over the last few days, making it pretty high on Hacker News, and I've had it sent to me many times with an 'is this true?' kind of vibe. It's written for "non-technical citizens of the web", and the headline advice is to stop using passkeys and go back to TOTP codes and passwords. The Argument The post makes what appears to be one central claim: Passkeys support something called attestation, which lets a website