Las passkeys han ganado una tracción significativa como una alternativa resistente al phishing frente a las contraseñas tradicionales. A diferencia de las contraseñas, que pueden ser robadas a través de sitios web falsos (phishing), las passkeys están vinculadas criptográficamente a dominios específicos; un navegador no ofrecerá una passkey para `example.com` si el usuario se encuentra en `examp1e.com`. Sin embargo, algunos críticos argumentan que este cambio hacia las passkeys introduce un nuevo riesgo: la pérdida de la agencia final del usuario sobre sus propias elecciones de hardware y software.
Esta imagen ilustra el concepto general de las passkeys como un estándar de seguridad moderno discutido en el párrafo de apertura.
Un punto central de controversia involucra la "atestación", una característica en el protocolo WebAuthn que permite a un sitio web solicitar una prueba criptográfica del autenticador que se está utilizando. Los críticos sugieren que, al aumentar el requisito de atestación, los servicios podrían eventualmente restringir los inicios de sesión únicamente a aquellos que utilicen sistemas operativos aprobados o firmware sin modificar, bloqueando efectivamente a los usuarios que prefieren distribuciones centradas en la privacidad como LineageOS. Los defensores de las passkeys responden que la mayoría de las passkeys de consumo —aquellas sincronizadas a través de iCloud Keychain, Google Password Manager o 1Password— no proporcionan ninguna declaración de atestación en absoluto. Argumentan que, si bien un sitio *puede* solicitarla, hacerlo bloquearía instantáneamente a la gran mayoría de los usuarios existentes, lo que haría que tal movimiento fuera comercialmente poco práctico para la mayoría de los sitios web.
La definición técnica de lo que la atestación revela realmente sigue siendo un matiz significativo en el debate. Mientras algunos afirman que no proporciona información sobre el sistema operativo o las extensiones, otros señalan que ciertos dispositivos pueden filtrar información de estado durante el proceso. Por ejemplo, algunas implementaciones de Android podrían revelar si un dispositivo ha pasado las comprobaciones de arranque verificado, permitiendo potencialmente que un servicio detecte si un teléfono está ejecutando un ROM personalizado. Además, aunque muchos proveedores actuales no requieren atestación, la existencia del mecanismo crea un camino teórico hacia entornos de autenticación más restrictivos donde la 'confianza' del hardware y el software es impuesta estrictamente por el proveedor del servicio en lugar del usuario.