なぜスマートフォンを紛失すると、ロックアウトかSMSフォールバックかの選択を迫られるのか？

パスキーはパスワードを排除するが、FIDO2仕様が解決していない脆弱性をもたらす。それがアカウントリカバリーだ。登録済みの唯一のデバイスを紛失し、ベンダー固有の同期を事前設定していなければ、ロックアウトされるか、パスキーが塞ぐはずだったSIMスワップ攻撃を再び可能にするSMS OTPに戻ることを余儀なくされる。Apple、Google、Microsoftはそれぞれ互換性のない同期サイロを構築しているため、iOSからAndroidに移行するとすべてのサービスで手動再登録が必要になる。WebAuthn仕様は認証情報の作成と使用方法を定義しているが、リカバリーについては各プラットフォームに明示的に委ねている。元の脅威モデルを維持しながら、ベンダー中立で暗号学的に堅牢なリカバリープリミティブは存在しない。