웹사이트들이 비밀번호를 버리자고 재촉하고 있다. 그 대안으로 제시되는 것이 패스키(passkey)다. 패스키는 비밀번호보다 안전하고 편리하다고 광고되며, 실제로 그 말 자체는 상당 부분 사실이다. 그러나 보안 전문 블로그 'nonfunctional'은 그 편리함의 이면에 사용자가 쉽게 눈치채지 못하는 구조적 함정이 있다고 지적한다. 핵심 주장은 단순하다. 다른 어떤 로그인 수단과 달리, 패스키는 사용자가 최종적인 통제권을 갖지 못하도록 설계될 수 있다는 것이다.
비밀번호의 보안 취약성 자체는 반박하기 어렵다. 수십억 달러 규모의 미국 IT 기업 솔라윈즈(SolarWinds)의 서버 비밀번호가 'solarwinds123'이었다는 사실이나, 하와이 재난관리청 직원 책상의 포스트잇이 사진 배경에 찍혀 비밀번호가 노출된 일화는 비밀번호 체계의 허술함을 상징한다. 하지만 비밀번호에는 분명한 장점도 있다. 누구나 작동 방식을 알고, 어디에 적어둘지, 누구와 공유할지를 사용자가 스스로 정한다는 점이다. 글쓴이는 바로 이 '통제권'을 논의의 기준점으로 삼는다.
이미 있던 더 나은 대안, TOTP
비밀번호를 보완하는 수단은 이미 존재해왔다. 문자나 이메일로 받는 일회용 코드 방식의 2단계 인증이 먼저 나왔고, 뒤이어 더 견고한 TOTP(시간 기반 일회용 비밀번호), 흔히 '인증 앱'이라 불리는 방식이 등장했다. TOTP의 미덕은 문자도, 이메일도, 심지어 인터넷도 필요 없다는 데 있다. 사용자별 고유 시드(seed)와 현재 시각을 바탕으로 30초마다 무작위처럼 보이는 숫자를 만들어내면 그만이다.
중요한 건 TOTP가 RFC 6238이라는 공개 표준이라는 점이다. 숫자를 만드는 공식이 공개돼 있으니 구글 인증기 같은 특정 앱에 묶일 필요가 없다. 웹사이트가 특정 앱 설치를 강하게 권하더라도, 실제로는 스마트폰이든 노트북이든, 심지어 90년대 게임보이든 시각을 알고 몇 줄의 코드를 돌릴 수 있는 기기면 충분하다. 시드를 종이에 적든 친구에게 넘기든, 그 데이터를 어떻게 다룰지는 전적으로 사용자의 몫이다. 코드가 노출돼도 몇 분 뒤 만료되므로 위험도 제한적이다.
하나의 이름, 수많은 다른 물건
패스키 역시 WebAuthn이라는 공개 표준에 기반한다. 표면적으로는 TOTP와 닮았다. 글쓴이는 실제로 무료 오픈소스 소프트웨어로 패스키를 만들어 친구에게 이메일로 보내 함께 같은 사이트에 접속해봤다고 한다. 누구의 허락도 필요 없었다. 여기까지만 보면 패스키도 사용자가 자유롭게 다룰 수 있는 수단처럼 보인다.
함정은 '패스키'라는 같은 이름이 전혀 다른 여러 물건에 붙어 있다는 데 있다. 글쓴이는 FIDO 얼라이언스가 사용자가 세부 내용을 들여다보지 않도록 의도적으로 이름을 통일했다고 본다. 실제 WebAuthn 기술 문서는 '패스키'라는 단어를 거의 쓰지 않는다. 대신 검색 가능/불가능 자격증명, 하드웨어 기반/소프트웨어 기반 자격증명, 인증된/인증되지 않은 자격증명처럼 선택적 구성요소가 끝없이 나열된다. 명세서가 표준이라기보다 부품 카탈로그에 가깝다는 비유가 나오는 이유다.
패스키는 복사 가능하게도, 복사 불가능하게도 만들 수 있다. 아이폰이 주머니에 있는 한 누구도 접근할 수 없게 하려면 복사 불가능이 유용하지만, 여러 기기에서 쓰려면 복사 가능이 필요하다. 더 반직관적인 것은, 복사가 불가능한 패스키도 '이전(transfer)'은 가능하도록 만들 수 있다는 점이다. 디지털 세계에서 무언가를 친구에게 보내면 내 기기에서 사라지는 일은 흔치 않은데, 패스키는 물리적 물건처럼 작동하도록 설계될 수 있다. 자신이 만든 패스키가 둘 중 어느 쪽인지 모르면, 죽어가는 노트북에서 유일한 패스키를 꺼내지 못하거나 내가 모르는 사이 누군가 사본을 가진 상황을 맞게 된다.
이 모든 성질을 가능하게 하는 것이 하드웨어 기반 패스키다. 노트북의 TPM, 아이폰의 '보안 격리 영역(Secure Enclave)' 같은 보안 칩, 이른바 암호 프로세서는 내부 데이터가 칩 밖으로 빠져나갈 수 없도록 설계된다. 파일 탐색기 어디에서도 보이지 않는 별도의 부품이다. 물리적으로 칩을 열어 데이터를 빼내려 하면 화학적·전자적 변조 감지 장치가 작동해 스스로 파괴된다. 국가 수준의 자원이 없다면, 넷플릭스도 운영체제도, 심지어 사용자 본인조차 그 비밀 데이터를 꺼낼 수 없다. 글쓴이가 짚는 핵심은 바로 여기다. '본인조차 꺼낼 수 없다'는 특성은 강력한 보안인 동시에, 사용자가 자신의 자격증명을 어떻게 다룰지 결정할 권한을 제거하는 장치이기도 하다.
실무자가 새겨둘 지점
글쓴이는 FIDO 얼라이언스에 빅테크, 각국 정부, 정보기관, 은행, 모질라 같은 비영리단체까지 참여하지만 소비자 권익 단체는 없다는 점을 문제 삼는다. 팀 버너스리와 대학, 공익 단체가 함께하는 W3C와 대비된다는 것이다. 다만 이 글은 비기술 일반 독자를 겨냥한 논평이며, 특정 서비스가 실제로 통제권을 어떻게 제한하는지에 대한 구체적 사례나 수치는 제시하지 않는다는 한계가 있다. 보안 담당자라면 이 주장을 'FUD'로 흘려듣기보다, 패스키 도입 시 복사·이전·하드웨어 귀속 여부라는 선택지가 실제로 사용자와 조직의 계정 복구·기기 교체·공유 정책에 어떤 제약을 거는지를 설계 단계에서 점검하는 체크리스트로 삼는 편이 생산적이다. '더 안전하다'는 한 문장 뒤에 숨은 구성 옵션이 곧 통제권의 향방을 가른다.