Passkeys は罠ではない、専門家が反論
原題: Passkeys are not a trap
なぜ重要か
Passkeysの普及期に技術的に不正確な情報が広まると、フィッシング耐性という本来の恩恵をユーザーが享受できなくなるリスクがある。
セキュリティ研究者のScott Helme氏は2026年10月14日、「Passkeysは罠だ」と主張するHacker Newsで話題の投稿に対し、技術的な誤りを指摘する反論記事を公開した。同記事は、Passkeysに関するattestation（証明）の仕組みや、TOTPとの比較を具体的なコードや事例を交えて解説している。
Hacker Newsで注目を集めた「Passkeys are a trap. Do not use them.」という記事が、非技術者を対象に「Passkeysの使用をやめ、TOTPとパスワードに戻れ」と主張している。この記事に対し、オープンソースのPasskeysライブラリを開発したHelme氏が明確な反論を展開した。
元記事の中心的な主張は、attestationという機能を通じてウェブサイトが「承認されたソフトウェアと承認されたOSのみ」を要求できるようになり、ユーザーの自由が制限されるというものだ。しかしHelme氏はこれを否定する。
まずiCloud KeychainやGoogle Password Manager、1Password、Bitwardenなど一般ユーザーが使う「同期型passkey」は、そもそもattestationステートメントを返さない。サイト側がリクエストしても戻り値は「none」だ。仮にあるサイトが「attested passkeysのみ受け付ける」という方針にすれば、自社ユーザーのほぼ全員を即座にロックアウトすることになる。そのようなことをするウェブサイトは存在しない、とHelme氏は断言する。
次にattestation自体の説明も元記事では誤っている。WebAuthnのattestationが伝えるのは認証器のメーカーとモデル（AAGUID）のみであり、OSやブラウザ、拡張機能、rootの有無、ファームウェアのバージョンについては一切関知しない。
元記事がattestation回避策として推奨するYubiKeyについても、Helme氏は皮肉を指摘する。YubiKeyはすべてYubico発行のattestation証明書を持ち、エンタープライズ用途ではまさに「承認済みハードウェアキーの強制」に使われる製品だ。attestationを避けたいなら、YubiKeyは最悪の選択肢になる。
TOTPについては、フィッシングツールキット「Evilginx」のようなリアルタイム中継攻撃に対して無力であることを指摘。Troy Hunt氏らも被害を受けたこの手口では、パスワードとTOTPコードを騙し取られてもユーザーは気づけない。一方、Passkeysはドメインにバインドされているためブラウザレベルでフィッシングサイトへの送信を阻止できる。