パスキーは罠ではない——Scott Helme、使用回避を勧める投稿に反論
Scott Helme は、パスキーの使用を避けるよう勧めるバイラル投稿に反論した。同期型パスキーはWebサイトにアテステーションを提供せず、アテステーションが示すのは認証器のメーカーと機種のみだと説明している。
2026年10月14日、Scott Helme が自身のサイトで「Passkeys are a trap. Do not use them.」と題するバイラル投稿への反論を公開した。Helme はパスキーの利用を継続すべきだと主張している。
投稿の主張と反論
投稿の中心的な主張とみられるのは、パスキーがアテステーションに対応しており、Webサイトが認証器の出自について暗号学的な証明を求められるという点である。投稿によると、サイトは今後徐々にアテステーションを導入し、ユーザーは承認済みのソフトウェアと承認済みのOSでしかログインできなくなるとされる。その際、改造やLineageOS、Netflixパスワードの共有は認められなくなるという。
投稿の匿名の著者は、パスキーについて「not designed to prioritize your interests」と述べた。また、同じ著者は「hidden dial」という表現も用いている。
アテステーションの仕組み
同期型パスキーは、iCloud Keychain、Google Password Manager、1Password、Bitwarden など、ユーザーが選んだソフトウェアに保存される。これらはWebサイトにアテステーションを提供せず、サイトが要求しても返ってくるのは「none」である。Helme は、この点を自身がオープンソースのパスキーライブラリを作成したことから確認できると述べている。
アテステーションが存在する場合の内容は以下のとおりである。
- サイトに伝わるのは、認証器のAAGUIDで識別されるメーカーと機種であり、ベンダーからの証明書チェーンが付く。
- OS、ブラウザ、拡張機能、ルートやjailbreakの状態、ファームウェアのバージョン、デバイスの色は分からない。
- 全てのYubiKeyには、Yubico発行のアテステーション証明書が付属する。
- エンタープライズ・アテステーションは、組織が承認済みハードウェアキーを必須にできるように存在する。
フィッシング耐性とTOTP
Helme は、TOTPがEvilginxなどのフィッシングキットに対して脆弱だと主張している。こうしたキットは、パスワードとTOTPコードを本物のサイトへリアルタイムで中継し、セッションを乗っ取ることができる。
パスキーは作成されたドメインに紐付けられるため、ブラウザは example.com 用のパスキーを examp1e.com では使用しない。消費者向けサイトに対するガイダンスは、長年にわたりアテステーションを要求しないことだった。
筆者の見立て
- 消費者向けWebサイトが明日から認証済みパスキーのみを受け付けると決めた場合、ほぼ全ての自社ユーザーが即座に締め出されると予想している。
- 消費者ログインでアテステーションを要求するサイトは、商業的に自己矛盾となるため現れないと予想している。
- 投稿自身のYubiKeyの推奨は、読者をアテステーションから遠ざけるのではなく近づける方向に向けていると解釈している。
- 投稿の主張は説得力のある筋書きだが、アテステーションの実際の仕組みとは合わないと論じている。
- パスキーは、TOTPでは解決できないフィッシングの問題を解決すると解釈している。
- フィッシング耐性のある認証情報をフィッシング可能なものに替えることは、非常に悪い取引だと論じている。
- 今日パスキーを避けても利用者は何からも守られず、フィッシングに無防備なままになると予想している。
- パスキーは現在アカウントを守るための最善の手段であり、罠ではないと論じている。
- YubiKeyは優れており、欲しい人には推薦に値すると論じている。
この記事は元記事の事実のみに基づいて自動生成されました。
出典
- 媒体: Scott Helme
- 原題: Passkeys Are Not a Trap
- URL: https://scotthelme.co.uk/passkeys-are-not-a-trap/
- (Hacker News の報道による)