Почему passkeys — это ловушка: скрытый рычаг внутри изящной технологии

Сайты наперебой уговаривают нас отказаться от паролей в пользу passkeys, суля большую безопасность и удобство. Автор блога Non-Functional соглашается: технически passkeys действительно хороши. Но, предупреждает он, за элегантным фасадом, как внутри троянского коня, спрятан скрытый механизм, который позволяет сайтам постепенно отбирать у пользователя контроль над собственными ключами.

Кто за этим стоит

Passkeys придуманы альянсом FIDO — консорциумом, где сошлись интересы бигтеха, мелких компаний, банков, государств и спецслужб. У каждого свой мотив, но объединяет их одно: ни одной организации по защите прав потребителей среди участников нет. Некому отстаивать интересы самого пользователя.

Пароли небезопасны — тут автор не спорит, вспоминая легендарный пароль solarwinds123 и стикер с паролем, попавший в кадр на фото. Но проблему давно решают одноразовые коды TOTP (стандарт RFC 6238): открытая формула, любой софт, хоть собственный скрипт на Python, хоть Game Boy из девяностых. Главное — вы сами решаете, где хранить ключи и с кем ими делиться. (Netflix, замечает автор, делиться не хочет.)

Один термин — десятки разных вещей

Внешне passkeys похожи на TOTP и тоже опираются на открытый стандарт (WebAuthn). Но под одним словом FIDO намеренно спрятал множество несовместимых вариантов: копируемые и некопируемые, переносимые и непереносимые, аппаратные (в защищённом чипе-криптопроцессоре) и программные, требующие присутствия человека или биометрии — или не требующие ничего. Спецификация читается не как стандарт, а как каталог запчастей.

Аттестация — вот где ловушка

Пока выбор этих свойств вроде бы за вами. Но стандарт обязывает ваш софт сообщать сайту, какие функции включены. Значит, сервис может потребовать именно «аппаратный, некопируемый, с проверкой пользователя» ключ. Соврать об этом можно — кроме одного случая: аттестованного ключа. Удалённая аттестация криптографически подтверждает, что вы пользуетесь одобренным менеджером passkeys на одобренной операционной системе с одобренной прошивкой. Поставили LineageOS на старый телефон вместо покупки нового — проверка провалится, и вас не пустят.

Именно здесь, по мнению автора, кроется настоящий мотив бигтеха и спецслужб: не удобство и не безопасность, а возможность запретить вам запускать неодобренный софт — альтернативный браузер с блокировщиком рекламы, Linux, приложение конкурента. Аттестация пока почти нигде не обязательна, но стандарт уже встроил её в экосистему; когда большинство пользователей перестанет замечать разницу, выключатель можно будет просто щёлкнуть.

Что делать

Автор призывает не спешить с настройкой passkeys и подождать более честно определённой альтернативы. А если нужна безопасность прямо сейчас — подойдёт TOTP (пусть даже на Game Boy) или аппаратный ключ вроде YubiKey: он тоже часть WebAuthn, но, будучи самодостаточным, не тянет требования аттестации на всю вашу систему.

Источник: Hacker News