Mengapa kehilangan ponsel berarti harus memilih antara terkunci atau kembali ke SMS?

Passkey menghapus kata sandi tetapi memperkenalkan kerentanan yang tidak diselesaikan oleh spesifikasi FIDO2: pemulihan akun. Jika Anda kehilangan satu-satunya perangkat yang terdaftar dan belum mengonfigurasi sinkronisasi khusus vendor, Anda akan terkunci atau dipaksa kembali ke SMS OTP, yang membuka kembali serangan SIM-swap yang seharusnya ditutup oleh passkey. Apple, Google, dan Microsoft masing-masing membangun silo sinkronisasi yang tidak kompatibel, sehingga berpindah dari iOS ke Android berarti mendaftarkan ulang secara manual di setiap layanan. Spesifikasi WebAuthn mendefinisikan cara membuat dan menggunakan kredensial tetapi secara eksplisit menyerahkan pemulihan kepada setiap platform. Tidak ada primitif pemulihan yang netral terhadap vendor dan kuat secara kriptografis yang mempertahankan model ancaman aslinya.