패스키는 함정이 아니다, 피싱 방지 기술

핵심 요약

• 해외에서 '패스키는 함정'이라는 주장이 확산되자, 패스키 기술 전문가가 이를 반박하는 글을 발표했다.
• 주장의 핵심은 패스키의 증명(attestation) 기능이 점진적으로 확대되어 승인된 소프트웨어·OS로만 로그인하게 될 것이라는 우려였다.
• 그러나 대부분의 사용자가 쓰는 동기화 패스키(iCloud Keychain, Google Password Manager 등)는 증명 기능을 제공하지 않으며, 소비자 서비스는 증명을 요청하지 말라는 권고를 오랫동안 받고 있다.
• 증명은 OS·브라우저·확장프로그램·루팅 여부 같은 것을 알려주지 않으며, 인증기 모델만 식별한다.
• 패스키 대신 권장된 YubiKey 같은 하드웨어 키는 오히려 증명 기능을 갖춘 기기로서, 증명을 피하려는 취지와 모순된다.
• TOTP는 피싱 킷이 실시간으로 코드를 중계할 수 있어 대규모 계정탈취가 이루어지고 있으나, 패스키는 특정 도메인에만 유효해 잘못된 사이트에 입력될 수 없다.
• 저자는 신뢰할 만한 비밀번호 관리자에 저장된 패스키를 사용하고, 증명이 소비자 로그인에 도입되려 해도 현재로선 그럴 가능성이 없으므로 패스키 사용을 계속할 것을 권한다.