- Xのプロダクト責任者であるNikita Bierは、Passkeyの概念と保存場所がユーザーに明確に伝わっておらず、アプリのログイン時に正体のわからない「魔法の粉」を求められるような体験になっていると批判した
- 携帯電話／ブラウザ／OS／生体情報のうち何がPasskeyなのか把握しにくく、ユーザーがセキュリティ上の利点を判断できるほど明確な説明も不足しているということ
- Passkeyを擁護する側は、入力する言葉の代わりに携帯電話やノートPCのような所有しているデバイスを鍵として使う方式であり、盗まれやすいパスワードより安全だと説明する
- 反対意見は、唯一のPasskeyデバイスを失えばアカウントへのアクセスも失う可能性があり、不完全な実装と復旧体験のせいでアカウントロックのリスクが高まると指摘する
- 一部は、コスト削減と大手プラットフォームのエコシステムへの囲い込みが導入動機ではないかと疑う一方、パスワード自体が根本的に脆弱である以上、不便さだけを理由に代替手段を拒むべきではないという反論も出ている
ユーザーが理解できない認証方式
- ある技術企業の運営者は、パスワードの保存方法をやっと覚えたユーザーにGoogleがPasskeyを提示しているが、それが指紋／顔認証／数字データのどれに当たるのかさえわかりにくいと述べた
- Nikita Bierは、Passkeyは消費者心理を理解していないセキュリティエンジニアによって作られたと批判した
- ユーザーがPasskeyの正体を理解できず、利点を評価したり反論したりすることさえ難しかったと見ている
- その結果、アプリがログインのためにどこにあるのかわからない認証手段を要求する状況になったと表現した
- Passkeyが携帯電話／ブラウザ／OS／ユーザーの身体のどこにあるのかも不明確に感じられると指摘した
「入力する言葉」ではなく「持っている鍵」
- Passkeyを擁護したコメントは、これをパスワードのように入力する言葉ではなく、ユーザーが所有する鍵だと説明した
- 多くの場合は携帯電話を鍵として使うが、ノートPCやほかのデバイスを使うこともできる
- 言葉は盗みやすいが、鍵は比較的盗みにくいという違いが核心だ
- 利便性や生体認証に焦点を当てた説明は、かえって概念を混乱させており、所有ベース認証という本質とはあまり関係がないという意見だ
デバイス紛失とアカウント復旧の問題
- 批判的な意見は、唯一動作するPasskeyデバイスを失えば、アカウントへのアクセスも一緒に失う可能性があると懸念している
- パスワードは記憶したり別途保管したりでき、2FAアプリは複数のデバイスにインストールできるが、Passkeyは正しく使えたときの堅牢さと鍵を失う可能性の両方を高めるという主張だ
- 別のコメントもPasskeyの実装を失敗だと評価し、次の問題を提起した
- ユーザー体験がよくなく、使いにくい
- アカウントから締め出される可能性が高い
- プラットフォーム事業者が導入を強く進める理由として、コスト削減とエコシステムへの囲い込みを疑っている
大手プラットフォーム依存をめぐる論争
- Tim Sweeneyは、Passkeyをユーザーを大手テックプラットフォームに縛り付ける計画だと評価した
- Passkeyが携帯電話／ブラウザ／OSアカウントと結び付く体験のため、ユーザーは認証手段の所在や管理主体を自分で直接コントロールしにくいと感じるのではないか、という反応が続いた
パスワードより優れた代替手段だという反論
- 一部はPasskeyを、デバイスと生体認証またはパスワードを組み合わせた方式として理解しており、攻撃者が両方の要素を同時に確保する可能性は低くなると見ている
- 反論側は、パスワードは根本的に壊れたセキュリティモデルであり、ユーザーもそれをまともに使えたことがほとんどないと強調する
- 新しい方式が難しいという理由で簡単な問題にだけとどまる姿勢は望ましくなく、批判するだけでなく、よりよい認証モデルを提示すべきだという意見だ
4件のコメント
うーん、Xのプロダクト責任者であるNikita Bierは、もともとかなり強い言い方をすることで有名です。Elon Muskに少し似ている感じもありますが、方向性は少し違います。
新しく公開したBeeBSはPasskeyをサポートしています。私は便利だと思う方です。
ただし、Passkeyだけで登録して同期やほかの復旧手段がない場合、デバイスを失くしたときにアカウントへアクセスできなくなる可能性があります。なのでBeeBSでは、まずメールのマジックリンクで登録したあとにPasskeyを登録するようにしました。
この2つを組み合わせれば、ユーザーのパスワードをサーバーにまったく保存しなくてもよくなり、デバイスを変えたり失くしたりしても、メールでもう一度ログインして新しいPasskeyを登録できます。
「passkeyは良い。代案もない批判はするな!!」と。
でも当のpasskeyこそ既存方式に対する代替案という立場なのに、まともな代案を提示できていないまま良いものだとごり押ししている
パスキーを快適に使うには、すべてのプラットフォームをまたいで使える、たった1つのパスワード管理アプリを使うしかない……
そうでないと、自分がどこでどうやってパスキーを作成したのかも分からなくなるし、ブラウザがパスキーの要求を見当違いの相手に尋ねていることにも気づきにくい。だから、よく使ういくつかのプラットフォーム以外では不便で、パスキーを使わない。
今見ると、パスワード管理アプリを売るために作られた機能みたいだ。
Hacker Newsの意見
技術業界で26年間働いていて、公開鍵・秘密鍵の原理も理解しているが、複数のデバイスやブラウザでパスキーをどう使えばログインに支障が出ないのかは分からない
iPad、iPhone、Windowsデスクトップ、MacBook ProでBrave・Firefox・SafariとLastPassを使っているが、スマホのSafariで偶然パスキーを作った場合に他のデバイスでもログインできるのか、パスキーを同期できるのかデバイスごとに追加できるのか、サイトごとにいくつまで許可されるのかが不明瞭だ
サイトやアプリごとにポリシーが違う可能性もあるので、しばらくはデバイスを失くしたり他人のデバイスを使ったりしても復旧できるLastPassとパスワードを使い続けるつもりだ
配偶者とPandora・Amazon Primeのアカウントを共有している場合、それぞれが自分のパスキーを作れるのか、そうでないなら配偶者にどうやってアクセス権を渡すのかも疑問だ
エンジニアの自分ですらパスキーのUIはまったく明確ではなく、どこもユーザーのパスキーを独占管理しようとしているのに、その事実は隠したまま「代わりに処理してあげる」としか言わない
技術職でない知人たちは、パスキーを使うべきかどうかと使い方について極度に混乱しており、私でさえまともに答えるのが難しい
失くしたら「パスワードを忘れた場合」のメールのような既存の復旧手順で再設定し、通常はパスワードマネージャーに保存されて他のデバイスへ同期されるので失わずに済む
ただしコピー＆ペーストは許可せず、必ずパスワードマネージャー経由で提示させることで、フィッシング相手に誤って渡してしまう可能性を防いでいる
主要なマネージャーは、ユーザーが読めたりバックアップできたりするファイルへのエクスポートにも対応しておらず、マネージャー間の移行にはそれぞれ面倒なアプリ間移行手順を要求するため、ロックイン効果を歓迎しているように見える
パスワードマネージャー自体にログインするときだけは、外部手段であるパスワードやYubiKeyが必要になる
https://danfabulich.medium.com/passkeys-are-just-passwords-t...
LastPassは2022年に続き先月も全パスワードを流出させたのでもう離れるべきで、最も近い代替は複数の深刻な侵害を受けていない1Passwordだ
しかし、この代替ログイン手段はフィッシング排除というパスキーの核心的な目標を無力化するため、いつまで維持されるのか分からない
パスキーでログインしたあとに、さらにTOTPの2段階認証やメール確認を要求するサイトもあり、ユーザー利便性という核心的な利点まで失われている
パスワードなら紙に書いて物理的に安全な場所へ保管できるが、パスキーと2段階認証は復旧が悪夢で、実用的な復旧手段を用意すると今度は安全性が失われる
むしろパスキーは多くの一般消費者にとって素晴らしく、認証を理解して独自のパスワード管理体系を持っているエンジニアのほうが混乱しているように見える
Appleエコシステムのユーザーは、求められればTouch IDやFace IDを使うことにすでに慣れている
Amazonでパスキーを設定してから、MacとiPhoneで何の摩擦もなくログインできるようになった
一般ユーザーにとってパスキーは、パスワードマネージャーから複雑なパスワードを探して貼り付ける作業を置き換えるのではなく、あらゆるサイトで共有していた同じパスワードを自分で入力する行為を置き換えるものだ
パスキーは特定のデバイスに縛られ、別のデバイスを使った瞬間に不便になり、ユーザーが所有・制御する認証情報というより、すべてにつながった一つの秘密のように見える
一部の状況ではより安全かもしれないが、すでにもっと良い解決策がある問題に対する劣った代替案に近い
何も知らないユーザーに押し付けられるひどい概念だ
YubiKeyやパスワードよりもPINの使用を延々と押し付けてくる
サイトで初めてパスキーの利用を勧められて検索してみたが、作業を中断させられながら費やした5分以内では答えを見つけられなかった
これまで見た中で最も正確な定義は、アプリにログインさせる魔法の妖精の粉だ
パスワードとTOTPトークンは仕組みと自分の管理責任を理解しているが、スマホを失くしたらどうなるのか、端末ごとに固有のパスキーが必要なのか、交換周期や盗難時の対応はどうなのかが分からない
こんなにひどい説明だと感じているのが自分だけではないようで幸いだ
技術に慣れている自分ですら、パスキーがどこに保存され、どの端末にひも付くのか、スマホのChromeでQRコードをスキャンすると、なぜログインできるのか理解していない
ある日突然選択肢として現れ、ボタンを押すとログインできるだけで、ユーザー教育はまったくなかった
コンピュータ活用能力が上位1%に近いHacker Newsユーザーですらこうなのだから、普通の家族や不動産業の人は理解できず、自分で学ぼうともしないだろう
https://news.ycombinator.com/item?id=46301585#46303892
鍵をファイルではなくYubiKeyやTPMのようなハードウェアセキュリティモジュールに保存し、登録時にサイトと非対称鍵ペアを作成し、ログインには一般的なチャレンジレスポンス方式を使う
最大の進歩はフィッシング耐性で、偽のログインページはTOTPコードを中継できても、パスキーのチャレンジレスポンスは中継できない
20年以上技術業界で働いていても、パスキーは混乱する
コンピュータサイエンス上の鍵の概念は理解しているが、端末間での使い方が分からず、物理キーにひも付けると紛失後に取り戻せなくなる可能性が大きく心配だ
ログインページに入るやいなや要求してくることもあれば、先にユーザー名やメールアドレスを求めることもあり、1つのパスキーがパスワードと二要素認証を完全に置き換える場合もあれば、パスワードの後の二要素認証としてだけ使われる場合もある
パスワードなしでパスキーとSMSのような別認証を同時に要求するところもある
端末登録や同期の混乱まで加わり、ユーザー体験の一貫性が大きく欠けている
プラットフォームベンダー間の連携は改善できても、サイトやアプリごとに動作が異なる問題は解決が難しそうだ
Apple・Google・1Password・KeePassのような対応マネージャーを使うか、常に持ち歩くスマホに表示されたQRコードをスキャンすればよく、YubiKeyのような専用デバイスも使える
AndroidとChromeでは、ChromeのパスワードマネージャーかスマホのQRスキャンを使えばよい
ポーランド政府アプリmObywatelも、ログイン後に証明書をダウンロードし、その後はQRコードを撮影してPINや生体認証で政府サイトにアクセスする、似た構造になっている
パスキーは入力する必要のないパスワードのように単純で、すべての端末に1Passwordを入れて簡単に使っている
Androidでも既定のパスキープロバイダーに設定すれば端末間で共有できる
1Passwordで鍵を同期すると多少は安全性が下がるかもしれないが、以前から同じ方法でパスワードを共有していたので、セキュリティ態勢は変わっていないと考えている
その代わり、ユーザー名やパスワード文字列を生成・入力・コピーする必要がなくなり、1Passwordがサイトとパスキー要求を認識して自動で反応する
アカウントが複数あれば使うパスキーを選べるので、概ねただ動く仕組みであり、パスワードよりはるかに好ましい
パスワードマネージャーが生成した複雑で再利用されないパスワードより、実質的なセキュリティ上の利点もない
WindowsのFirefoxは一部サイトで1Passwordの代わりにWindowsのパスワードマネージャーを呼び出し、AndroidでもChromeとFirefoxで処理方法が違うようだ
Microsoftアカウントは、パスキーが保存された端末でそのアカウントに先にログインしておく必要があるため流れがこじれ、別の方法に戻らざるを得ない
LibbyのようなアプリからAmazonに移動すると、パスキーのない別のパスワード画面が出るので、パスワードも用意しておかなければならない
うまくいくときは素晴らしいが、結局は1Passwordとユーザー名・パスワードの組み合わせの方がより良いUXに見える
パスキーを作ると既存のパスワードが消えるのか、他の端末ではどうログインするのか、新しい端末で作ると以前のパスキーが変わって最初の端末がロックアウトされるのかは、広報や案内だけでは分からない
78歳の両親に物理U2Fキーを「家の玄関の鍵のように、アカウントに入るために必要な鍵なので、なくしたり貸したりせず、予備の鍵も持っておこう」と説明したところ、完全に理解してすべてのアカウントに追加した
消費者は機会すら与えられないまま、この概念を理解するにはあまりに無知だと想定されていたが、実際には物理鍵の比喩だけで十分だった
2本のキーを一緒に持ち歩いて両方登録すると同時に失う危険があり、1本を金庫に置くと、どのサービスにどのキーを登録したかを追跡しつつ、新しいサービスが増えるたびに予備キーを取り出して登録しなければならない
どちらも満足できず、結局バックアップ可能なOTPアプリを選んだ
ベンダーは消費者のこうした使い方を支援も存在の認知もしないまま、企業には複雑な実装を高く売ろうとしている
物理キーはなくすものなので、玄関の予備鍵を植木鉢の下に置くことになり、常に持ち歩く物が1つ増えるだけだ
携帯電話はどこでも手に入るが、祖母に「Walmartの電子機器売り場でYubiKeyをくださいと言って」と言えるようになるまでは問題が残る
地方配送ではAmazonですら最低6日かかるので、オンライン注文はこの状況の有効な解決策ではなく、紛失したキーを即座に交換するのは事実上不可能だ
パスキーを単純だと考える人は、たいていすべての認証情報を独占的クラウドベンダーに預け、全デバイスに同期しているようだ
認証情報をオフラインで保管し、自分で同期・バックアップしようとする人にとっては、登録・バックアップ・共有の手順が正確にどう動くかが重要だ
これはリモートアテステーション、年齢確認、CSAMスキャン、サイドローディング制限と並んで、結局はBig Techや政府が参加者・コンテンツ・ハードウェア・ソフトウェアを検証してはじめてインターネット上の相互作用を許可する流れの一部に見える
技術者の中にもこれを支持する人が多く、近いうちに独占的クラウド生態系に入らざるを得なくなりそうだ
YubiKeyを2本用意して、1本は銀行の貸金庫、もう1本は別の場所に置き、クラウドを捨てることもできるが、まだそうする理由は大きくない
パスキーはパスワードより失うものがなく、むしろはるかに扱いやすい
10年間SSH秘密鍵をセキュアハードウェアに保管してきて物理キーの携帯に慣れているのかもしれないが、全体としてはより良い方式だと思う
パスワードをなくすことはリモートアテステーションや年齢確認とは無関係だ
過去20年間で覚えたパスワードは、個別の機器や会社・家庭のアカウント用の2、3個だけで、残りは細分化されたハードウェア認証情報で解決すべきだ
パスキーは、自分の道具を理解し管理しようとする技術者にとって悪夢だ
理解する能力も意思もなく、画面の指示どおりにボタンを押し、誰かの閉鎖的生態系の中で生きるユーザー向けに最適化されている
そうした用途ではうまく機能するが、生態系を離れた瞬間にすべてが壊れる、巨大なベンダーロックインを生み、ひょっとするとそれこそが当初の設計目標だったのかもしれない
HSAサイトが前回のログイン時にパスキー設定を強制し、業務用ノートPCと会社のパスワードマネージャーに登録したところ、今では個人用コンピューターからアカウントにアクセスできなくなった
本当に望んでいた素晴らしい結果だ
まだ雇用主のSSOでログインできるので、本当に必要になるまで設定を先延ばしにしている
パスキーは魔法ではなく変わったパスワードにすぎず、サイトが復旧ボタンを実装していないのなら、パスキーよりサイト実装の欠陥を示している
パスキーの問題はUXではない
Big Techは消費者が汎用コンピューティング機器を所有することを妨げ、閉鎖的生態系へ追い込もうとしており、パスキーもその利害に合わせて設計されている
自由を奪うときの常として名目は安全であり、結果としてユーザーは機器の所有者が許可した作業しかできない企業管理デバイス向けの運用モデルになった
劣悪なUXはその根本問題から派生した結果だ
特定のパスキーだけを強制してとりわけひどかったのは今のところNintendoだけだが、それでもNintendoがやったことの中ではまだましな部類だ