फोन खो जाने पर लॉकआउट और SMS फॉलबैक में से एक चुनना क्यों मजबूरी बन जाती है?

पासकीज़ पासवर्ड को समाप्त करती हैं लेकिन एक ऐसी नाजुकता पेश करती हैं जिसे FIDO2 स्पेक हल नहीं करता: अकाउंट रिकवरी। यदि आप अपना एकमात्र नामांकित डिवाइस खो देते हैं और पहले से वेंडर-विशिष्ट सिंक कॉन्फ़िगर नहीं किया है, तो आप लॉक आउट हो जाते हैं या SMS OTP पर वापस जाने के लिए मजबूर होते हैं, जो उन SIM-स्वैप हमलों को फिर से खोल देता है जिन्हें पासकीज़ को बंद करना था। Apple, Google, और Microsoft ने प्रत्येक ने असंगत सिंक साइलो बनाए, इसलिए iOS से Android पर जाने का मतलब है हर सेवा पर हाथ से पुनः नामांकन करना। WebAuthn स्पेक परिभाषित करता है कि क्रेडेंशियल कैसे बनाएं और उपयोग करें, लेकिन रिकवरी को स्पष्ट रूप से प्रत्येक प्लेटफ़ॉर्म पर छोड़ देता है। कोई वेंडर-न्यूट्रल, क्रिप्टोग्राफिक रूप से मजबूत रिकवरी प्रिमिटिव मौजूद नहीं है जो मूल थ्रेट मॉडल को संरक्षित करे।