パスキーは好きではない

パスキーは好きではない 過去数年間、テクノロジー業界はパスキーをログインの究極の解決策として推進し続けてきました。多くの大手テクノロジー企業は、ログインするたびにパスキーがいかに簡単で手間いらずであるかを「親切に」通知してきます。それらを停止させる唯一の方法は、譲歩してパスキーを設定するか、設定に深く入り込んでオフスイッチを見つけるかのどちらかです。Googleは設定を「可能な場合はパスワードをスキップする」と名付け（新規タブで開く）、Microsoftはアカウントをパスワードレスにするように（新規タブで開く）宣伝しています。 パスキーは素晴らしいテクノロジーです。それらは作成されたサイトにバインドされているため、ハッカーの偽のログイン画面でフィッシングされることはありません。サイトがデータ侵害に遭った場合、パスキーは非対称であり、サーバー側の詳細から回復することはできません。 これにより、パスキーは企業環境に最適ですが、個人のセキュリティには不向きです。個人にとって、最大の危険は、アカウントへの永久的なアクセス不能、自動アカウント禁止、およびデバイスの紛失です。パスキーを使用することで、中間者攻撃に対するセキュリティは向上しますが、アカウントへのアクセスを失う可能性の高いシナリオに直面します。 標準的なログインフローを介したフィッシングはパスキーによって排除されますが、それは偽の安心感を生み出します。アカウントのセキュリティは、依然として最も弱い回復方法によって決まります。SMS、メールリンク、セキュリティ質問などです。これらの回復方法が有効になっていない場合、ユーザーにとって永久的なロックアウトのリスクは残ります。 ハードウェアキー 設計上、ハードウェアキーでパスキーのバックアップを作成することはできません。パスキーは追加または削除することはできますが、移動することはできません。代わりに、2〜3個のハードウェアキーを購入し、すべてのサイトで各キーを登録する必要があります。これはすぐに高価になり、アカウント数が増えるとスケーリングが悪くなります。 ハードウェアキーは検出可能な認証情報をサポートしており、ウェブサイトはユーザーが入力しなくてもユーザー名を照会できます。これらはウェブサイト開発者の間でますます人気が高まっていますが、ハードウェアキーあたり25〜100アカウント（新規タブで開く）の制限があり、最上位のキーは最大300アカウントを持つことができます。制限を超えると、いくつかのアカウントを削除するか、別のハードウェアキーセットを購入する必要があります。 同期されたパスキー AppleとGoogleはどちらも、あなたのアイデンティティを彼らのオペレーティングシステムに紐付けたいと考えています。彼らのデバイスでの「ハッピーパス」は、AppleまたはGoogleアカウントに紐付けられた同期パスキー管理を使用することです。彼らの自動システムがいつかあなたのアカウントを禁止すると決定した場合（新規タブで開く）、すべてのサードパーティアカウント全体で使用されているすべてのパスキーへのアクセスも不可逆的に失われます。 FIDOアライアンスは相互運用性を向上させ、パスキーのエクスポートを容易にするために取り組んできましたが、プロバイダー間のエクスペリエンスは依然として断片的で一貫性がありません。これは今後数年間で改善される予定ですが、現在のところ、信頼するには未熟すぎます。パスワードと比較してください。パスワードは、必要に応じて手動で簡単にエクスポートできる文字列です。 サードパーティの同期パスキー Bitwarden（新規タブで開く）やKeePassXC（新規タブで開く）のようなパスワードマネージャーにパスキーを保存すると、プラットフォームと戦うことになります。オペレーティングシステムは最近、サードパーティツールがフックするためのAPI（AndroidのCredential Manager（新規タブで開く）など）を導入しましたが、エクスペリエンスは断片的であり、パスワードの自動入力に対する数十年のUXの洗練が欠けています。ブラウザ外やネイティブアプリケーション内での自動入力は、特に一貫性がありません。将来的には、サードパーティのパスキーが前進する道になると信じていますが、まだそこには到達していません。 パスキーが機能しない場合 自分が所有するデバイスでアカウントにログインすることは、パスキーの理想的なシナリオです。同僚のコンピューターを扱う必要がある場合、それははるかに不便になります。ハードウェアキーを接続することはできますが、ポートに常にアクセスできるとは限りません。同期されたパスキーにサインインして使用することもできますが、それにはコンピューターが他のすべてのパスキーを漏洩しないことを信頼する必要があります。最後のオプションは「ハイブリッドトランスポート」（新規タブで開く）を使用することです。これは、QRコードをスキャンし、同時にコンピューターにBluetoothで接続します。このオプションは安全で理論的には機能しますが、現実は接続が失敗したり、Bluetoothが完全にサポートされていなかったりするエッジケースに悩まされています。 パスキーはまだ準備ができていません エンタープライズユーザーがパスキーを使用する正当な理由があると信じていますが、エコシステムは個人が使用するにはまだ成熟していません。TOTPコードには既知のフィッシング脆弱性がありますが、パスキーの回復とロックアウトのリスクは、AiTMプロキシ（新規タブで開く）よりも、ほとんどの人にとって日常的なリスクの方が大きいです。サードパーティのパスワードマネージャーに保存されたランダムに生成されたパスワードと、独立したTOTPアプリの組み合わせは、プレーンテキストの柔軟性を犠牲にすることなく、ユーザーに制御を与えます。以前はすべてのサイトでパスワードを再利用していたユーザーにとっては、パスキーは大きな進歩です。それ以外の人にとっては、現在は一歩後退です。