Любой ключ может быть скомпрометирован, нет ничего на 100% надёжного. Кроме того хорошей практикой считается иметь ограниченные по времени действия ключи. Железный или программный ключ можно в любой момент отозвать и переввыпустить, а как вы будете перевыпускать свою биометрию?
Защита от фишинга: Passkey, WebAuthn/FIDO2 и беспарольный вход в компании