SQRL은 틀리지 않았다, 다만 10년 일렀다: 패스키가 증명한 것

애플과 구글, 마이크로소프트가 패스키를 운영체제와 브라우저에 통합하고 은행과 기업용 아이덴티티 제공업체가 이를 채택하면서, 비밀번호 없는 인증은 더 이상 보안 전문가의 실험이 아니라 일반 사용자가 매일 쓰는 기능이 되었다. 한 엔지니어는 이 흐름을 볼 때마다 2013년 무렵의 기억을 떠올린다고 적었다. 출퇴근길에 팟캐스트 '시큐리티 나우!'를 듣다가 스티브 깁슨이 소개한 SQRL(Secure Quick Reliable Login)을 처음 접했고, 그날 사무실에서 하루 종일 그 이야기를 했다는 것이다. 이 글은 SQRL이 패스키를 앞서 예견했음에도 왜 표준이 되지 못했는지를, 기술 자체보다 타이밍과 조율의 문제로 되짚는다.

비밀번호를 아예 없애자는 발상

SQRL의 핵심은 익숙하면서도 급진적이었다. 사이트마다 서로 다른 암호학적 신원을 제시하기 때문에 기억하거나 재사용할 비밀번호가 없고, 데이터베이스에 저장돼 유출을 기다리는 공유 비밀도 존재하지 않는다. 피싱 사이트가 가로챌 만한 가치 있는 정보도 거의 없다. 공개키 암호가 실제 인증 작업을 처리하는 동안 인증 절차 자체는 사용자의 시야에서 사라지다시피 한다. 글쓴이는 당시 근무하던 Wirehive에서 SSH 키에서 SSH 인증서로 옮겨가던 중이었기에, 공유 비밀을 비대칭 암호로 대체한다는 아이디어가 웹 로그인에도 적용될 수 있다는 설명이 곧바로 와닿았다고 회고한다. 또 다른 비밀번호 관리자나 비밀번호를 조금 덜 나쁘게 만드는 시도가 아니라, '비밀번호를 아예 쓰지 말자'는 더 큰 질문을 던졌다는 점에서 흥미로웠다는 것이다.

당시 그의 팀은 흥미로운 것을 발견하면 위원회나 6개월짜리 검토 없이 그냥 만들어보는 방식으로 일했다. 누군가 며칠 사라졌다가 지원 기능을 추가했다고 아무렇지 않게 말하는 식이었고, 실제로 동료 로빈을 설득해 Wirehive 포털에 SQRL 지원을 붙였다고 한다. 한동안 글쓴이는 SQRL을 인증의 미래로 여기며 가깝게 지켜봤다. 구현체도 있었고 헌신적인 커뮤니티도 있었지만, SQRL은 그 커뮤니티 바깥으로 멀리 나아가지 못했고 시간이 지나면서 관련 소식도 점차 들리지 않게 됐다.

아키텍처는 다르지만 전제는 같았다

현대의 패스키와 SQRL은 설계가 다르다. 패스키는 서비스마다 별도의 자격증명을 생성하고 기기 간에 동기화할 수 있는 반면, SQRL은 각 웹사이트 신원을 마스터 신원으로부터 결정론적으로 파생시켰다. 엔지니어링 선택은 달랐지만 출발점은 같았다. 사람이 서비스마다 공유 비밀을 기억하지 않아도 된다는 것이다. 글쓴이는 FIDO 얼라이언스가 깁슨의 작업을 토대로 삼았다는 증거를 본 적이 없고, SQRL에서 WebAuthn이나 패스키로 이어지는 직접적인 계보를 주장하지도 않는다고 분명히 선을 긋는다. 공개키 인증은 SQRL보다 앞서 존재했고, 당시에도 여러 똑똑한 사람들이 비밀번호 없는 인증을 연구하고 있었기 때문이다. 다만 업계가 대규모 배포 준비를 갖추기 수년 전에, 비밀번호 없는 웹 인증이 어떻게 작동할 수 있는지를 구체적인 기술 수준에서 보여준 공로는 깁슨의 몫이라고 평가한다.

진짜 난제는 암호가 아니라 조율이었다

이 글이 던지는 실무적 교훈은 여기에 있다. SQRL의 어려운 문제는 프로토콜의 우아함이 아니라 조율이었다. 아무리 정교한 설계라도 브라우저, 운영체제, 웹사이트, 사용자가 함께 움직여야만 평범한 로그인 방식으로 자리 잡을 수 있는데 그런 일은 일어나지 않았다. 패스키는 같은 지점에 다른 경로로 도달했다. 애플, 구글, 마이크로소프트가 공통 표준을 지지하고 자사 플랫폼에 통합했으며, 브라우저가 지원을 더하고 비밀번호 관리자가 뒤따랐다. 그 결과 웹사이트는 사용자에게 낯선 인증 시스템을 먼저 찾아 쓰라고 설득할 필요 없이 패스키를 도입할 수 있었다. SQRL에 없던 것이 바로 이 지원이었다. 공개키 로그인이 실용적이 된 이유는, 사람들이 이미 쓰던 소프트웨어가 거의 같은 시기에 그것을 지원하기 시작했기 때문이다.

결국 우리는 표준이 된 기술을 기억하고 그 아이디어를 더 일찍 시연한 사람은 잊는 경향이 있다. SQRL은 웹 인증 표준이 되지 못했지만, 가장 큰 플랫폼 사업자들이 준비를 갖추기 훨씬 전에 비밀번호 없는 인증이 어떤 모습일 수 있는지를 보여줬다. 기술의 성패가 암호학의 우열이 아니라 생태계 전반의 동시 이동에 달려 있다는 사실은, 지금 새로운 인증·보안 표준을 검토하는 실무자에게도 그대로 적용되는 이야기다. 글쓴이의 표현을 빌리면, 그는 틀리지 않았고 다만 남들보다 10년 먼저 들었을 뿐이다.