パスキーは消費者の心理を全く理解していないエンジニアによって発明された

SMSの2FAも、どこでもオプションだったけど、いつの間にかそうじゃなくなったよね。

自分のSSHキーは~/.sshにあるけど、パスキーにはそんな場所がないんだよね。

パスキーよりSSHキーの方がずっと安心できるよ。少なくともあれは理解しやすいから。

これがパスキーを避けている主な理由だよ。俺も同じ質問があって、明確な説明がないんだ。重要なアカウントにアクセスできなくなるのは嫌だし。

同じく、デバイスを失ったらどうするの？ パスワードを紙に書いて安全な場所に保管する方が安心だよね。パスキーや2FAは、復元が必要なときには使いづらいし、使える復元手段を用意するとセキュリティが消えちゃう。

パスワードアプリを通じて保存すれば、主にiOS/macOSだけど、パスキーやパスワードアプリをサポートしているAppleデバイスならどれでも解除できるから、簡単だよ。「どこでも」使いたいなら、iOS/MacOSのパスキーを使えるし、QRコードが表示される。場所によってはサポートが不十分なところもあるけど、両方のデバイスがBluetoothが必要だと思う。それで認証される。Linuxだけはちょっと変わってて、このフローがうまくいかなかった。パスキーのUXが改善されれば、私は全面的に移行するつもり。パスワードでアカウントにアクセスするのを完全にブロックしたいくらいだし、パスキーでログインすることで一時的に有効にするのを明示的に許可してくれるサイトがあればいいのに。パスワードはネット上に散らばってる感じがする。おかしなことに、特定のドメインに対して複数のパスキーを保存できるけど、普通の名前が付いてないと混乱することもある。追記：最初はAppleのパスワードがiOS/macOS専用だと思ってたけど、そうじゃなかった！だから元のメッセージを編集してるけど、混乱させてごめん。AppleのエコシステムからWindowsにパスキーでログインできることを忘れてた。別の投稿者が言ってたけど、Appleのエコシステムからもパスキーを転送できるよ！

これ、思ってるよりずっとシンプルだよ。パスキーはパスワードマネージャーが必要なパスワードみたいなもの。パスキーを失ったら、パスワードをリセットするのと同じようにリセットすることになると思う。たぶん「パスワードを忘れた」メールでね。（でも、パスワードマネージャーを使ってるから失うことはないし、パスキーはそこに保存されて他のデバイスと同期される。）変なことに、パスワードマネージャーはパスキーをコピー＆ペーストする方法を提供してない。パスキーを提示するにはパスワードマネージャーを使わなきゃいけないから、間違った人にパスキーをコピー＆ペーストすることは不可能なんだ（誰かに騙されるのを防ぐため）。主要なパスワードマネージャーは、自分で読んだりバックアップしたりできるファイルにパスキーをエクスポートすることすら許可してない。代わりに、各パスワードマネージャーにはパスキーを別のパスワードマネージャーに転送するための独自の面倒なアプリ間メカニズムがある。（すべてのパスワードマネージャーがロックインを好んでると思う。）最後に、パスワードマネージャー自体にログインするためには、常にパスワードマネージャーの外にある何かが必要で、たぶんパスワードか、場合によってはYubiKeyが必要になる。あなたの「最後のパスワード」と呼ばれるものだね。https://danfabulich.medium.com/passkeys-are-just-passwords-t... 追記：LastPassから移行する時期だよ。LastPassは先月もまたすべてのパスワードを失ったし、2022年と同じことが起きた。最も似ているサービスは1Password。LastPassが好きなら、1Passwordも同じくらい好きになると思うけど、1Passwordはひどいセキュリティ侵害が何度も起きてないからね。

そうそう、意図されているワークフローは、携帯電話でログインして、そのデバイスが他のデバイスに自分のパスキーを発行させる権限を持つって感じだと思う。でも、個人的にはそれは悪いプランだと思う。特定のデバイスが特権的な地位を持つことになるし、携帯を失ったら大変だよ。パスキーはデバイス間で同期できて、クラウドのパスワードマネージャーに保存できるべきだと思う。私は自分用のパスワードマネージャーを作ってるけど、パスキーにはまだ手を出してない。

俺の問題は、消費者に対して安全だと謳われてるけど、実際には複雑なパスワード以上のことをしてないってこと。新しいキーが必要なとき、どうやって生成するの？パスワードリセットと同じプロセスだよね。セッションハイジャッカーを防げるの？全然無理。おばあちゃんが攻撃者にそれを読まれないっていう「利点」だけなんだ。じゃあ、おばあちゃんがリンクをクリックしてセッションハイジャッカーに人生をめちゃくちゃにされる可能性は？そうだね、攻撃者はそれを知ってて手法を変えるだけ。セッションハイジャックは高度な攻撃じゃないから、やってることは株主価値のためにパスワードリセットのコストを削減してるだけで、セキュリティの見せかけと、すべてのアクセスを支配する単一のドメインにキーをロックアップしてるだけなんだ。

潜在的に良いアイデアが、ベンダーやパスワードマネージャー、ブラウザなどがコントロールを主張しようとして腐ってしまった。自分もエンジニアだけど、パスキーのUIは全く不明瞭だと思う。でも、そうである必要はない。みんなが自分のパスキーのための「唯一の」パスワードマネージャーになりたがってるみたいだけど、彼らがやってることを理解しやすくする気はないみたいで、「あなたのために処理しますよ」って言ってくる。技術に詳しくない友達はパスキーに非常に混乱していて、使うべきかどうか、どう使うかも分からない。正直、良い答えも持ってない。これは混乱だと思う。生まれつきの混乱ではなく、新しいシステムを利用しようとする企業やプロジェクトが作り出した混乱だ。