나는 패스키가 마음에 들지 않는다 — 개인에게는 아직 이르다는 비판
빅테크가 최종 로그인 솔루션처럼 밀어붙이는 Passkey에 대한 비판 글입니다. 저자는 Passkey가 피싱 방지와 비대칭 키 구조 덕분에 기업 환경에는 훌륭하지만, 개인에게는 계정 잠금·자동 밴·기기 분실이라는 더 현실적인 위험을 키운다고 주장합니다. 하드웨어 키의 백업 불가와 계정 수 제한, Apple·Google 동기화의 플랫폼 종속, 서드파티 관리자의 파편화된 UX를 근거로 아직 개인용으로는 미성숙하다고 결론 내립니다.
본문
저자는 지난 몇 년간 기술 업계가 Passkey를 로그인의 궁극적 해법처럼 밀어붙여 왔다고 지적합니다. Google은 설정 이름을 '가능하면 비밀번호 건너뛰기(Skip password when possible)'로 붙였고, Microsoft는 계정을 passwordless로 만들라고 광고합니다. 로그인할 때마다 Passkey가 얼마나 쉽고 편한지 알려주는 안내를 끄려면 Passkey를 설정하거나 설정 메뉴 깊숙이에서 해제 스위치를 찾아야 합니다.
장점은 명확하지만 개인에게는 맞지 않다
Passkey는 특정 사이트에 바인딩되므로 가짜 로그인 화면으로 피싱할 수 없고, 서버가 데이터 유출을 당해도 비대칭 키 구조상 서버 측 정보만으로 복구할 수 없습니다. 이는 기업 환경에는 완벽하지만 개인 보안에는 잘 맞지 않는다고 저자는 말합니다. 개인에게 가장 큰 위험은 중간자 공격이 아니라 영구적인 계정 잠금, 자동화된 계정 밴, 기기 분실이기 때문입니다. 표준 로그인 흐름의 피싱은 제거되지만 계정 보안은 여전히 가장 약한 복구 수단 — SMS, 이메일 링크, 보안 질문 등 — 에 의해 결정되며, 이 복구 수단이 없으면 영구 잠금 위험이 남습니다.
하드웨어 키의 한계
하드웨어 키의 Passkey는 설계상 백업이 불가능합니다. 추가하거나 삭제할 수만 있고 이동은 안 되므로, 2~3개의 하드웨어 키를 사서 모든 사이트에 각각 등록해야 합니다. 비용이 빠르게 늘고 계정 수가 늘어날수록 확장성이 떨어집니다. 사용자 이름을 직접 입력하지 않아도 되는 discoverable credentials는 하드웨어 키당 25~100개 계정, 최상급 키도 최대 300개 제한이 있어, 초과하면 계정을 삭제하거나 키를 추가 구매해야 합니다.
동기식 Passkey와 플랫폼 종속
Apple과 Google은 사용자의 신원을 자사 OS에 고정하고 싶어하며, 동기식 Passkey는 Apple·Google 계정에 묶입니다. 자동화된 시스템이 계정을 밴하면 서드파티 계정 전반의 Passkey를 되돌릴 수 없이 잃습니다. FIDO 얼라이언스가 상호운용성과 내보내기를 개선 중이지만 경험은 여전히 파편화되어 있어 당장 의존하기엔 미숙하다고 평가합니다. 비밀번호는 필요하면 손으로도 내보낼 수 있는 문자열이라는 점과 대비됩니다.
서드파티 관리자와 실패 지점
Bitwarden이나 KeePassXC 같은 비밀번호 관리자에 Passkey를 저장하면 플랫폼과 싸우게 됩니다. Android의 Credential Manager 같은 API가 생겼지만 경험은 파편화되어 있고, 수십 년 다듬어진 비밀번호 자동완성의 UX에 미치지 못하며 네이티브 앱에서 특히 불안정합니다. 동료의 컴퓨터에서 로그인할 때도 문제입니다. 하드웨어 키를 꽂기엔 포트 접근이 어렵고, 동기식 Passkey 로그인은 다른 Passkey까지 신뢰해야 하며, QR 코드와 블루투스를 동시에 쓰는 'Hybrid Transport'는 이론상 안전하지만 연결 실패나 블루투스 미지원 같은 현실의 엣지 케이스가 많습니다.
결론
저자는 기업 사용자에게는 Passkey를 쓸 이유가 있지만 생태계가 개인용으로 성숙하지 않았다고 봅니다. TOTP에 AiTM 프록시 피싱 취약점이 알려져 있어도, Passkey의 복구·잠금 위험이 대부분의 사람에게 더 큰 일상적 위협이라는 것입니다. 서드파티 비밀번호 관리자의 무작위 생성 비밀번호와 독립 TOTP 앱 조합이 유연성을 잃지 않으면서 통제권을 준다고 말합니다. 다만 모든 사이트에 비밀번호를 재사용하던 사용자에게는 Passkey가 큰 개선이라고 인정합니다.
Hacker News 반응
- @a2tech — 별로입니다. 서비스들이 패스키를 그렇게 공격적으로 밀어붙이지 않았으면 합니다(Amazon과 PayPal, 당신들 보고 있어요).
- @Finnucane — Amazon과 PayPal에게 나쁜 짓을 하지 말라고 부탁하는 건 무리한 요구죠.
- @junaru — 회사들이 '저희가 해킹당했지만 걱정 마세요, 고객님의 "비밀번호"는 유출되지 않았습니다'라는 이메일을 보낼 수 있게 하려는 단 하나의 목적으로 존재합니다. 완전히 일방적인 솔루션입니다.
- @cbarrick — 하지만 일반 비밀번호로도 늘 그렇게 할 수 있었습니다. 어떤 회사도 사용자 비밀번호의 솔트된 해시 외에는 저장해선 안 되니까요.
- @kenrick95 — 패스키에는 마케팅 문제가 있습니다. 기술 용어를 쓰지 않고 패스키가 무엇인지 간단히 설명할 수 있는 사람이 없습니다. 각 OS가 최종 사용자에게 지나치게 강하게 밀어붙이는 문제도 있습니다.
원문: hawksley.dev / 번역·요약: Trawling