Por que perder meu celular significa escolher entre o bloqueio da conta e o fallback por SMS?

As passkeys eliminam senhas, mas introduzem uma fragilidade que a especificação FIDO2 não resolve: a recuperação de conta. Se você perder seu único dispositivo registrado e não tiver configurado previamente a sincronização do fabricante, ficará bloqueado ou será forçado a voltar ao SMS OTP, o que reabre os ataques de SIM-swap que as passkeys deveriam fechar. Apple, Google e Microsoft construíram silos de sincronização incompatíveis entre si, de modo que migrar do iOS para o Android significa se recadastrar manualmente em cada serviço. A especificação WebAuthn define como criar e usar credenciais, mas adia explicitamente a recuperação para cada plataforma. Não existe uma primitiva de recuperação neutra em relação ao fabricante e criptograficamente sólida que preserve o modelo de ameaça original.