パスキーは、従来のパスワードに代わるフィッシング耐性のある代替手段として大きな支持を得ています。偽のウェブサイト（フィッシング）を通じて盗まれる可能性があるパスワードとは異なり、パスキーは特定のドメインに暗号的に紐付けられています。そのため、ユーザーが `examp1e.com` にアクセスしている場合、ブラウザは `example.com` 用のパスキーを提示しません。しかし、一部の批判者は、パスキーへの移行が新たなリスクをもたらすと主張しています。それは、ユーザーが自身のハードウェアやソフトウェアの選択において持つ最終的な主導権を失うことへの懸念です。
この画像は、冒頭の段落で議論されている現代的なセキュリティ標準としてのパスキーの一般的な概念を説明しています。
論争の中心となっているのは、WebAuthnプロトコルにおける「アテステーション」という機能です。これは、ウェブサイトが使用されている認証子の暗号的な証明を要求することを可能にするものです。批判者は、アテステーションの要求を厳格にすることで、サービス側が承認されたオペレーティングシステムや改変されていないファームウェアを使用しているユーザーのみにログインを制限できるようになり、LineageOSのようなプライバシー重視のディストリビューションを好むユーザーを事実上排除する可能性があると指摘しています。これに対し、パスキーの推進派は、iCloud Keychain、Google Password Manager、または1Passwordを通じて同期されるほとんどの消費者向けパスキーは、そもそもアテステーション声明を提供しないと反論しています。彼らは、サイトがアテステーションを要求することは可能だが、実際に要求すれば既存ユーザーの大多数を即座に締め出すことになり、ほとんどのウェブサイトにとってそのような動きは商業的に非現実的であると主張しています。
アテステーションが実際に何を明らかにするのかという技術的な定義は、この論争における重要なニュアンスです。アテステーションはOSや拡張機能に関する情報は提供しないと主張する者がいる一方で、特定のデバイスはそのプロセス中に状態情報を漏洩させる可能性があると指摘する者もいます。例えば、一部のAndroidの実装では、デバイスが検証済みブートチェックを通過したかどうかが判明する可能性があり、サービス側がスマートフォンでカスタムROMが動作していることを検知できる可能性があります。さらに、現在の多くのプロバイダーはアテステーションを要求していませんが、この仕組みが存在すること自体が、ハードウェアやソフトウェアの「信頼」がユーザーではなくサービスプロバイダーによって厳格に強制される、より制限的な認証環境への理論的な道筋を作り出しているのです。