密码糟糕透了。通行密钥能取代它们吗？
摘要
讨论通行密钥作为一种更安全的认证方法取代密码的潜力。
<p><a href="https://lobste.rs/s/oyo7dd/passwords_suck_can_passkeys_replace_them">评论</a></p>
相似文章
我不喜欢通行密钥
这篇文章批评通行密钥，认为尽管它们在防范网络钓鱼方面具有安全优势，但引入了个人风险，如账户锁定和设备丢失，使得与企业环境相比，它们不太适合个人用户。
Passkey 更糟糕
作者讲述了遭遇的一次精心策划的钓鱼攻击：攻击者伪造了 Google 登录页面、Apple 的 passkey 提示，以及他们的 Bitwarden 分支密码管理器——最终在其已被入侵的 Google 账户上添加了一个新的 passkey。作者认为，passkey 和浏览器扩展检测 API 反而让钓鱼攻击变得更加严重。
传递通行密钥：无密码认证的新攻击面
这项Unit 42研究披露了三种针对无密码认证的新攻击，利用了谷歌的同步通行密钥生态系统，展示了恶意软件如何接管受通行密钥保护的账户、绕过用户验证并提取私钥。
通行密钥证明陷阱
一篇博客文章及其引发的讨论认为，通行密钥内嵌了 FIDO 认证证明机制，这可能会逐步使网站得以剥夺用户对自身凭据的控制权；而苹果公司的 Ricky Mondello 则反驳称，认证证明机制明确并非为面向大众消费者的身份验证而设计。
Passkeys 是一个陷阱，请勿使用
一篇评论文章批评 passkeys 是一种「陷阱」，认为它们削弱了用户对自身登录凭证的控制权，并指出 FIDO Alliance 由大科技公司、政府和银行等利益方主导，缺乏消费者权益代表。