비밀번호의 구원투수, 정말 믿어도 될까
요즘 웹사이트에 로그인하면 '패스키를 만드시겠어요?'라는 팝업을 자주 보시죠. 구글, 애플, 마이크로소프트가 한목소리로 밀고 있는 패스키(Passkey)는 '비밀번호 없는 세상'의 주인공으로 불려요. 그런데 최근 '패스키는 함정이다, 쓰지 마라'라는 꽤 센 제목의 글이 나왔어요.
글의 요지는 이래요. 패스키는 기술적으로는 훌륭하지만, 실제로 배포되는 방식이 사용자를 특정 플랫폼에 묶어두고 계정에 대한 통제권을 빅테크에 넘기게 만든다는 거예요. 이 주장이 어디서 나오는지 이해하려면 패스키가 어떻게 동작하는지부터 알아야 해요.
패스키는 어떻게 동작할까
패스키는 WebAuthn과 FIDO2라는 표준 위에서 돌아가는 인증 방식이에요. 이게 뭐냐면, 비밀번호처럼 '서로 아는 비밀'을 공유하는 대신 공개키 암호를 쓰는 방식이에요.
가입할 때 내 기기가 열쇠 한 쌍을 만들어요. 자물쇠(공개키)는 서버에 맡기고, 열쇠(개인키)는 내 기기 안에만 둬요. 로그인할 때 서버가 '이 문제 풀어봐' 하고 랜덤한 값을 보내면, 내 기기가 지문이나 얼굴 인식으로 나인지 확인한 뒤 개인키로 서명해서 돌려줘요. 서버는 맡아둔 자물쇠로 서명이 맞는지만 확인하면 끝이에요.
이 구조 덕분에 장점이 확실해요. 서버가 해킹당해도 털리는 건 공개키뿐이라 쓸모가 없고, 패스키는 특정 도메인에 묶여 있어서 가짜 사이트에서는 아예 동작하지 않아요. 피싱에 사실상 면역인 거죠.
그럼 뭐가 '함정'이라는 걸까
비판의 핵심은 기술이 아니라 생태계예요. 쟁점을 몇 가지 짚어볼게요.
첫째, 이동성 문제. 패스키는 보통 iCloud 키체인이나 구글 비밀번호 관리자 같은 플랫폼에 저장돼요. 아이폰에서 안드로이드로 갈아타거나 애플 계정이 잠겨버리면 어떻게 될까요? 비밀번호는 종이에 적어서라도 옮길 수 있지만, 패스키는 오랫동안 내보내기가 사실상 불가능했어요.
둘째, 계정 복구. 기기를 잃어버리고 클라우드 계정에도 못 들어가면 패스키도 같이 사라져요. 그래서 서비스들은 복구용으로 이메일이나 SMS를 남겨두는데, 그러면 가장 약한 고리가 그대로 남는 셈이에요. 보안은 가장 약한 경로만큼만 강하니까요.
셋째, 증명(attestation)과 통제. WebAuthn에는 서비스가 '이 패스키가 어떤 종류의 인증기로 만들어졌는지' 확인하는 기능이 있어요. 이걸 엄격하게 쓰면 특정 제조사 기기나 특정 앱만 허용하고 오픈소스 비밀번호 관리자는 막는 것도 가능해져요. 사용자가 도구를 고를 자유가 서비스나 플랫폼 손에 넘어갈 수 있다는 걱정이에요.
반론과 업계의 움직임
물론 반대쪽 이야기도 들어봐야 해요. FIDO 얼라이언스는 이동성 문제를 풀려고 자격 증명 교환 표준(CXP/CXF)을 만들고 있고, 애플은 iOS 26부터 이 표준을 바탕으로 패스키를 다른 앱으로 옮기는 기능을 지원하기 시작했어요. 1Password나 Bitwarden 같은 서드파티 관리자도 패스키를 저장할 수 있어서, 꼭 빅테크 플랫폼에 묶이지 않아도 되는 선택지가 있어요.
현실적으로 대부분의 사용자에게 비밀번호는 재사용과 피싱이라는 훨씬 큰 위험을 안고 있기도 해요. '완벽하지 않으니 쓰지 말자'보다는 '비밀번호보다 확실히 낫지만, 종속 문제는 계속 지켜보자'가 균형 잡힌 시각일 거예요.
한국 개발자가 챙겨야 할 것
한국 개발자라면 이 논쟁이 낯설지 않으실 거예요. 공인인증서 시절, 특정 기술과 플러그인에 온 국민이 묶여 있던 경험이 있잖아요. 보안을 명분으로 들어온 기술이 결국 사용자 선택권을 빼앗는 구조가 될 수 있다는 걸 우리는 이미 겪어봤어요.
서비스에 패스키를 도입하는 입장이라면 이런 원칙을 지키면 좋아요.
- 한 계정에 여러 개의 패스키를 등록할 수 있게 하세요. 휴대폰, 노트북, 보안 키를 따로 등록할 수 있어야 기기를 잃어버려도 대비가 돼요.
- 특별한 이유가 없다면 attestation을 요구하지 마세요. 일반 서비스에는 대부분 필요 없고, 사용자의 도구 선택만 좁힐 뿐이에요.
- 복구 경로를 신중하게 설계하세요. 복구 수단이 SMS 하나뿐이면 패스키의 보안 이점이 크게 줄어들어요.
- 당분간은 패스키를 유일한 로그인 수단으로 강제하지 마세요.
마무리
한 줄 정리: 패스키가 비밀번호보다 안전한 건 분명하지만, '내 열쇠를 누가 쥐고 있는가'라는 질문은 아직 열려 있어요.
여러분은 패스키를 쓰고 계신가요? 쓰신다면 플랫폼 기본 저장소인가요, 서드파티 관리자인가요? 서비스에 직접 도입해보신 분들은 복구 흐름을 어떻게 설계하셨는지도 궁금해요.
🔗 출처: Hacker News