Passkeys कोई जाल नहीं हैं

बहस का दायरा

• अधिकांश टिप्पणीकार मानते हैं कि passkeys तकनीकी रूप से सही public-key auth हैं, लेकिन इस पर विवाद है कि क्या मौजूदा ecosystem और standards उपयोगकर्ता‑अनुकूल हैं या दुरुपयोग से सुरक्षित हैं।
• चर्चा मुख्यतः इन बिंदुओं पर केंद्रित है: attestation और lock-in का जोखिम, portability, UX विफलताएँ, और passwords+TOTP की तुलना में अलग threat models।

---

Attestation, lock-in, और “trap” संबंधी चिंताएँ

• WebAuthn attestation साइटों को authenticator model (AAGUID) जानने देती है और संभावित रूप से यह सीमित कर सकती है कि कौन‑से authenticators अनुमति प्राप्त हैं।
• आलोचकों का तर्क है कि यह एक ऐसा “dial” है जिसे बाद में घुमाया जा सकता है: पहले permissive settings से शुरू करें, फिर धीरे‑धीरे attested, vendor‑approved authenticators अनिवार्य कर दें।
• उद्धृत ठोस उदाहरण:
  • Corporate Microsoft Entra सेटअप जो केवल Microsoft Authenticator की अनुमति देते हैं।
  • Swiss और Austrian e‑ID प्रणालियाँ जो कुछ hardware tokens को whitelist करती हैं।
  • एक FIDO participant का यह कहना कि non-compliant KeepassXC व्यवहार के कारण उसे relying parties द्वारा block किया जा सकता है।
• समर्थकों का जवाब: mainstream consumer platforms वर्तमान में none लौटाते हैं और बड़े sites एक झटके में users को बाहर लॉक करने का जोखिम नहीं उठाएँगे; कुछ प्रमुख vendors consumer sites के लिए attestation को सार्वजनिक रूप से हतोत्साहित करते हैं।
• संदेहवादियों का उत्तर है कि “अभी इस्तेमाल नहीं हो रहा” capability को नहीं हटाता, और commercial या regulatory दबाव के तहत standards विकसित हो सकते हैं।

---

Portability, ecosystem lock-in, और backups

• अनुभव Apple, Google, Microsoft, browsers, और password managers के बीच बहुत असंगत है।
• कुछ लोगों को migration सुचारु लगता है (जैसे Apple ↔ 1Password/Bitwarden, CXF/CXP specs), जबकि अन्य को यह मिलता है:
  • कोई generic export नहीं, केवल app‑to‑app transfers, वह भी apps की बंद whitelist तक सीमित।
  • Hardware/software का स्पष्ट rejection (जैसे Bitwarden, KeePassXC, Linux+Firefox)।
• कई लोगों को एक ही cloud account (iCloud/Google) पर निर्भरता और vendor lockout scenarios का डर है; वे passwords/TOTP secrets को print करने या स्वयं archive करने की क्षमता को महत्व देते हैं।

---

Security benefits बनाम passwords/TOTP

• Passkey के पक्ष में तर्क:
  • मजबूत phishing resistance: keys domains से bound होती हैं और passwords या TOTP codes की तरह replay या leak नहीं की जा सकतीं।
  • server leaks केवल public keys उजागर करते हैं; password cracking नहीं।
  • गैर‑तकनीकी users जो passwords reuse करते हैं और phishing में फँसते हैं, उनके लिए यह वास्तविक दुनिया में बड़ा लाभ है।
• संदेहवादी दृष्टिकोण:
  • अच्छे password managers, unique passwords, और TOTP पहले से ही अधिकांश जोखिम कम कर देते हैं; ऐसे users के लिए अतिरिक्त लाभ सीमित है।
  • passkey ecosystems पर हमले मौजूद हैं (password reset/enrollment phishing, buggy implementations, device compromise, “pass-the-key” शैली की समस्याएँ)।
  • recovery flows और secondary factors (email/SMS, backup codes) अभी भी phishing के लिए संवेदनशील रहते हैं, इसलिए phishing समाप्त नहीं होती, बस स्थानांतरित होती है।

---

Usability, recovery, और threat models

• कई लोगों के अनुसार passkeys एक “confusing mess” हैं:
  • प्रति device कई प्रतिस्पर्धी “managers”; यह स्पष्ट नहीं कि credential कहाँ संग्रहीत है।
  • Linux, VMs, remote desktops, या Bluetooth‑रहित machines पर टूटा हुआ या अधूरा support।
  • sites द्वारा multiple passkeys को गलत तरीके से संभालना, मौजूदा password+2FA के साथ अजीब ढंग से passkey मिलाना, या dark patterns के साथ enrollment कराना।
• Loss और recovery:
  • लोग सभी devices खो देने, vendor account lockouts, या cross-platform moves (iOS→Android, corporate बनाम personal accounts) को लेकर चिंतित हैं।
  • केवल hardware या attested flows irreversible lockout का डर बढ़ाते हैं, जबकि आज paper backups और migration-friendly password stores रखना संभव है।
• Threat models अलग हैं:
  • कुछ लोग phishing और commodity attacks को प्राथमिकता देते हैं → passkeys के पक्ष में।
  • अन्य control, anonymity, vendor misuse या state coercion के विरुद्ध resilience को प्राथमिकता देते हैं → passwords+TOTP और self-managed keys के पक्ष में।

---

Enterprise बनाम consumer विभाजन

• Corporate environments में, कई लोग सफल Yubikey/passkey rollouts की रिपोर्ट करते हैं, मजबूत central recovery के साथ, और users passwords छोड़कर खुश हैं।
• मुख्य चिंता यह है कि ये enterprise‑style controls (attestation, whitelists, mandatory proprietary apps) consumer banking, government, और “must use” services पर लागू न कर दिए जाएँ।

---

समग्र भावना

• उत्साही लोग: passkeys स्पष्ट upgrade हैं, खासकर अच्छे cross-platform password manager के साथ; attestation को लेकर डर बढ़ा‑चढ़ाकर बताए गए हैं।
• संदेहवादी: passkeys platforms और relying parties को नई शक्ति देते हैं, UX नाज़ुक है, portability सीमित है, और “future dial-turning” का जोखिम उन्हें एक संभावित दीर्घकालिक trap बनाता है।