Il materiale di autenticazione firmato è un dato prodotto da un autenticatore dopo che usa una chiave privata per firmare una sfida di accesso. Nei flussi passkey e WebAuthn, questo include in genere un'attestazione crittografica che dimostra che il dispositivo possiede la chiave privata senza rivelarla. Il server verifica la firma con la chiave pubblica corrispondente, motivo per cui l'accesso può essere sicuro senza una password riutilizzabile.
Questo è importante perché gli aggressori spesso prendono di mira l'output firmato o il sistema che lo memorizza e lo inoltra, invece di cercare di violare la crittografia stessa. Se un malware, una vulnerabilità del browser o un componente della piattaforma espone materiale firmato valido, un attaccante può tentare di riprodurlo, rilanciarlo o abusarne nel contesto consentito del protocollo. I difensori dovrebbero considerare l'endpoint, il browser e il livello di sincronizzazione come parte del perimetro di autenticazione e, dove possibile, preferire credenziali vincolate al dispositivo.