패스키는 편함 뒤에 감시 가능성을 숨기고 있다

핵심 요약

• FIDO Alliance가 주도하는 패스키는 보안이 뛰어나고 편리하다고 알려져 있지만, 사용자의 통제를 점차 빼앗는 구조로 설계됐다.
• 패스키는 '복사 불가능', '전송 불가능', '하드웨어 기반', '사용자 인증 필수' 등 여러 종류가 혼동되게 같은 이름으로 불린다.
• TOTP(인증 앱)는 이미 안전한 대안으로 존재하며, 사용자가 보관 방식을 선택할 수 있는 개방된 표준이다.
• 핵심 문제는 '원격 증명(Remote Attestation)' 기능으로, 웹사이트가 승인한 패스키 소프트웨어만 허용하도록 강제할 수 있다.
• 원격 증명이 활성화되면 Linux나 LineageOS 같은 맞춤형 OS 사용자는 로그인이 차단되며, 사용자가 직접 만든 패스키 앱도 거부된다.
• FIDO Alliance 멤버는 Big Tech, 정부, 정보기관, 은행 등이고 소비자 옹호 단체는 없다.
• WebAuthn 표준은 처음 4개에서 점차 추가되는 방식으로 설계돼 있으며, 예비로 남겨진 플래그도 있어 미래 제약이 추가될 여지가 있다.
• 기업과 정부 기관은 패스키를 통해 사용자가 승인되지 않은 소프트웨어를 실행하지 못하게 통제할 수 있고, 이는 암호화 통신이나 광고 차단 확장 기능 사용까지 제한할 수 있다.
• 업계는 현재 제약이 적지만, 시간이 지남에 따라 다양한 사이트에서 점진적으로 더 엄격한 패스키 요구사항을 추가할 것으로 예상된다.
• 대부분의 사용자는 Windows, macOS, iOS, Android만 사용해 원격 증명 실패를 경험하지 않겠지만, 대안 OS 사용자나 보안 업데이트가 끝난 기기 사용자는 서비스 접근이 거부될 수 있다.
• 프라이버시와 개인의 자유를 중시한다면, 패스키 채택을 거부하고 Big Tech가 더 명확한 대안을 제시할 때까지 기다릴 것을 권장한다.