Passkeys एक जाल नहीं हैं
मूल शीर्षक: Passkeys are not a trap
यह क्यों महत्वपूर्ण है
Passkeys की गलत व्याख्या से उपयोगकर्ता कमजोर TOTP की ओर लौट सकते हैं, जिससे phishing का खतरा बढ़ेगा।
Security researcher Scott Helme ने 14 अक्टूबर 2026 को एक लेख में यह खंडन किया कि Passkeys उपयोगकर्ताओं के लिए खतरनाक हैं। उन्होंने बताया कि Passkeys में attestation की कार्यप्रणाली के बारे में फैलाई जा रही जानकारी गलत है।
Hacker News पर वायरल हुए एक लेख 'Passkeys are a trap. Do not use them.' के जवाब में Scott Helme ने तथ्यात्मक खंडन प्रस्तुत किया। वायरल लेख का मुख्य दावा था कि Passkeys में attestation नामक एक 'छुपी हुई dial' होती है, जिसे वेबसाइटें धीरे-धीरे कड़ा करके उपयोगकर्ताओं को केवल 'अनुमोदित' software और OS तक सीमित कर देंगी।
Helme ने बताया कि अधिकांश उपयोगकर्ता synced passkeys काम में लेते हैं — जैसे iCloud Keychain, Google Password Manager, 1Password या Bitwarden — और ये passkeys किसी वेबसाइट को कोई attestation statement देते ही नहीं। यदि कोई उपभोक्ता वेबसाइट कल से केवल attested passkeys स्वीकार करने लगे, तो वह अपने लगभग सभी उपयोगकर्ताओं को तुरंत लॉक कर देगी।
WebAuthn attestation वास्तव में केवल authenticator का make और model बताती है — OS, browser, extensions, phone rooting या firmware का कोई जिक्र नहीं होता।
वायरल लेख ने YubiKey को 'OS-wide attestation से बचाव' के रूप में सुझाया, जबकि वास्तव में YubiKeys ही वे authenticators हैं जो attestation करते हैं। Helme स्वयं YubiKey उपयोग करते हैं, पर यह विरोधाभास महत्वपूर्ण है।
TOTP की कमजोरी पर Helme ने स्पष्ट किया कि Evilginx जैसे phishing kits real-time में password और TOTP code चुरा सकते हैं। Passkeys domain-bound होते हैं, इसलिए गलत वेबसाइट पर काम ही नहीं करते — यही उनकी असली ताकत है।