Waarom betekent het verliezen van mijn telefoon kiezen tussen uitsluiting en SMS-terugval?
Kans
Passkeys elimineren wachtwoorden maar introduceren een kwetsbaarheid die de FIDO2-specificatie niet oplost: accountherstel. Als je je enige geregistreerde apparaat verliest en geen leveranciersspecifieke synchronisatie hebt vooringesteld, word je buitengesloten of gedwongen terug te vallen op SMS OTP, wat de SIM-swap-aanvallen heropent die passkeys verondersteld werden te sluiten. Apple, Google en Microsoft hebben elk incompatibele synchronisatiesilos gebouwd, dus overstappen van iOS naar Android betekent bij elke dienst opnieuw registreren. De WebAuthn-specificatie definieert hoe referenties aangemaakt en gebruikt worden maar stelt herstel expliciet uit aan elk platform. Er bestaat geen leveranciersonafhankelijke, cryptografisch degelijke herstelprimitieve die het oorspronkelijke bedreigingsmodel behoudt.
Waarom het belangrijk is
Herstel is de zwakste schakel in de wachtwoordloze stack, en het oplossen ervan is de laatste mijl die passkeys een levensvatbare vervanging voor wachtwoorden op schaal maakt.
Hoe ik de kans beoordeel
De Opportunity Score is mijn eigen inschatting, geen meting: hoe ernstig het pijn doet, hoe vaak het toeslaat, en hoe weinig er vandaag de dag bestaat om het op te lossen. Hoger betekent dat ik denk dat het meer de moeite waard is om te bouwen.
Hoeveel pijn het veroorzaakt wanneer het zich voordoet.
Hoe vaak mensen er daadwerkelijk tegenaan lopen.
Hoe weinig goede tools er vandaag de dag voor bestaan.
Meer problemen die het oplossen waard zijn
Waarom is de software waarvan we het meest afhankelijk zijn de slechtste om te gebruiken?
TechWaarom bezit ik nog steeds niets van de data die ik genereer?
TechWaarom kan ik geen bewijs krijgen dat mijn gegevens daadwerkelijk zijn verwijderd?
TechWaarom kan ik niet weten of wat er draait overeenkomt met wat mijn SBOM heeft verklaard?
TechWhy does my AI agent route European health data through a US server without warning?
TechWaarom breekt elke C2PA-herkomstchain zodra inhoud op sociale media terechtkomt?