Вирусный твит обвинил в провале пасс-ключей инженеров. Ответы указали на другое — блокировку устройств Big Tech

Твит: пасс-ключи провалились, потому что инженеры не думают как обычные люди

Твит Никиты Бира утверждал, что пасс-ключи, беспарольный стандарт входа, поддержанный Apple, Google и Microsoft, так и не добился массового распространения, потому что проектировавшие их инженеры оптимизировали криптографическую элегантность вместо того, как реально ведёт себя в сети средний человек: он не понимает привязанные к устройству учётные данные, паникует, когда не может «вспомнить» пароль, и бросает любой процесс, который кажется незнакомым. Это критика UX, и на Hacker News она вызвала 641 комментарий, но по большей части не об UX.

Прямо в середине треда появилась реальная деталь: читатель сообщил, что Microsoft только что разослала администраторам корпоративных тенантов письмо о том, что SMS и голосовая 2FA будут отключены в феврале 2027 года, а автоматическая регистрация пасс-ключей начнётся уже в сентябре 2026-го. Пасс-ключи недолго останутся опциональными, и это подняло ставки для каждой прозвучавшей дальше жалобы.

Аргумент против пасс-ключей о безопасности, который не найти в рекламных материалах

Самый резкий разворот случился благодаря инженеру, работающему в области компьютерной безопасности: он переформулировал весь спор: проблема пасс-ключей не в трении при онбординге, а в том, что они «вектор для привязки твоих логинов к экосистемам Big Tech». Механизм называется device attestation: функция в спецификации пасс-ключей, позволяющая сервису требовать доказательство, что используется одобренный клиент пасс-ключей, а не любой соответствующий спецификации. Организация, отвечающая за стандарт пасс-ключей, ведёт реальный список «известных проблем», отмечающий несоответствующие клиенты, на практике это альтернативные менеджеры паролей и самостоятельно развёрнутые реализации, не играющие по правилам Big Tech. Сервис может сослаться на этот список, чтобы оправдать блокировку всего, что не является собственным приложением Google, Apple или Microsoft, и всё это во имя «безопасности». Его вывод: «Пока device attestation не уберут или серьёзно не ограничат в спецификации, я советую не создавать никаких пасс-ключей. Что обидно, потому что в остальном это довольно крутая технология».

Второй голос вообще переформулировал технологию как ничего нового: «Пасс-ключи по механике работы просто SSH-ключи», написали в ответ. «Мы делаем это с 90-х. Единственные, кто пользуется SSH-ключами, — линуксоиды и те, кого заставляет корпоративное решение для хранения секретов». Их точка бьёт сразу и по твиту, и по критике безопасности — сама криптография не нова и её несложно объяснить, у неё уже было тридцать лет, чтобы стать мейнстримом, и этого не случилось. Более гладкий интерфейс поверх старой идеи не объясняет, почему старая идея так и осталась нишевой.

Более мрачное прочтение и по-настоящему открытый вопрос

Один из ответов довёл скептицизм до территории слежки: постоянное хранение учётных данных «онлайн и привязанных к крупным провайдерам» облегчает доступ к ним спецслужбам через уже встроенные бэкдоры инфраструктуры Big Tech — спекулятивно, сам автор назвал это «теорией заговора», но она зашла, потому что device attestation даёт этой теории конкретный механизм, а не просто чистую паранойю.

А один вопрос так и остался без ответа до конца треда, полушутливый, но указывающий на то, куда всё это на самом деле движется: «Как вообще LLM должна логиниться через пасс-ключ?» По мере того как агентские AI-инструменты начинают действовать от имени пользователей по всему вебу, система учётных данных, явно спроектированная под привязку к одному физическому устройству и одному одобренному клиенту, перестаёт быть просто проблемой UX — она становится архитектурной проблемой, которую никто на встречах по спецификации пасс-ключей не решал.