Пост Якийсь час назад почав використовувати так звані passkeys для певних сервісів. На перший погляд, це безпечніше та зручні…

Якийсь час назад почав використовувати так звані passkeys для певних сервісів. На перший погляд, це безпечніше та зручніше за звичайні паролі, які можна забути, випадково розкрити тощо. А тут у вас є приватний ключ, збережений на пристрої, і публічний десь у тому сервісі, в якому ви хочете автентифікуватися. Важливо, що приватний ключ ніколи не залишає вашого пристрою й не передається по мережі на відміну від тих же паролів. Ну, в принципі шо я вам парю, якщо ви всі давно звикли до зв'язки приватного й публічного ключів в SSH. Причому з тим же 1Password ключ навіть не обов'язково зберігати у файловій системі. Але корпорати нас усіх знову переграли. Дружбан скинув статтю, автор якої налаштований не настільки оптимістично. І якщо чесно, я тепер теж. Розпишу коротко. Прикол у тому, що passkeys — це загальна назва для тупих споживачів типу нас. А стандарт WebAuthn насправді поскладніше, але ж хто ті стандарти читає, еге ж? Зокрема, WebAuthn розрізняє такі характеристики ключів як ті, що можна копіювати, і ті, що не можна; ті, які можна передавати, і ті, що ні; софтварні й хардварні тощо. Та найцікавіше починається на Attested vs Non-attested. У процесі автентифікації сервісу передаються всі характеристики вашого ключа. Фактично вони за бажання вже можуть заборонити вам використовувати ключі, які можна копіювати, наприклад. З іншого боку ви завжди можете написати (кого я обманюю? навайбкодити звісно) власну прогу, що передаватиме туди ті прапорці, які ви захочете. …Можете доти, доки сервіс не вимагає саме засвідчених (attested) ключів. Тоді все — приїхали. Знову буде якийсь реєстр «доброзвичайних» автентифікаторів, які можна використовувати, а решта йде лісом. Ми вже тисячу разів бачили цю схему. З останнього спадає на думку, як супервідкрита система Android, яка завжди дозволяла ставити будь-які програми звідки завгодно, одним рішенням ґуґла перестала такою бути. Віднині, як ви чули, без головного болю можна буде встановити APK лише від перевірених розробників. Сьогодні ви, припустімо, отримали верифікацію, а завтра ґуґлу не сподобається ваша аватарка — і все, до побачення. Fuckin' Arasaka 🎮 З passkeys складається схожа ситуація. Щойно набереться критична маса користувачів з ними, про звичайні паролі можна буде забути, як гравцям на плейстейшні про диски. Впевненості також не додає той факт, що остання редакція стандарту має декілька прапорців «for future use» 🤔 Якщо тема вас зацікавила, то дуже раджу вдягти свою шапочку з фольги й прочитати оригінал статті з деталями. А я тим часом запропоную локалізацію слова passkeys — паролючі́ 🤣 (Нагадую, що англійською це звучить не менш тупо). Пишіть власні варіанти.