Protocolos de posse — como POAP — existem para responder: qual dispositivo está operando agora, com chave registrada, após a identidade já estar estabelecida. Isso é complemento de OAuth, não substituto.
Auth21 Perspective
Dispositivo assinando ≠ usuário logado
Posse criptográfica é uma camada diferente de identidade. Misturar as duas cria falsa sensação de segurança em operações críticas.