최근 몇 년간 IT 업계는 패스키(Passkey)를 로그인 방식의 궁극적인 해결책으로 적극 홍보해왔습니다. 구글(Google)과 마이크로소프트(Microsoft) 같은 빅테크 기업들은 패스키가 얼마나 쉽고 편리한지 강조하며 사용자들에게 전환을 유도하고 있습니다. 패스키는 생성된 사이트에 고유하게 연결되므로 피싱(phishing) 공격에 매우 강하며, 서버 해킹 시에도 비대칭 암호화 방식 덕분에 안전하다는 기술적 이점을 가지고 있습니다.
그러나 이러한 기술적 장점에도 불구하고, 개인 사용자에게는 패스키가 오히려 더 큰 위험을 초래할 수 있다는 비판이 제기되었습니다. 패스키는 중간자 공격(man-in-the-middle attack)에 대한 보안을 강화하지만, 계정 영구 잠금, 자동 계정 정지, 기기 분실과 같은 개인에게 더 빈번하게 발생할 수 있는 시나리오에서는 취약점을 드러냅니다. 특히 하드웨어 키는 백업이 불가능하여 여러 개의 키를 구매하고 모든 사이트에 등록해야 하는 번거로움이 있으며, 하나의 키당 저장할 수 있는 계정 수도 25~300개로 제한적입니다. 또한, 애플(Apple)이나 구글(Google) 계정에 동기화된 패스키는 해당 계정이 정지될 경우 모든 서드파티 서비스에 대한 접근 권한을 잃을 위험이 있습니다. 서드파티 비밀번호 관리자(password manager)를 통한 패스키 관리 역시 아직 사용자 경험(UX)이 미흡하고 파편화되어 있어 기존 비밀번호 자동 완성만큼 편리하지 않습니다.
이러한 문제점들로 인해 패스키는 기업 환경에서는 강력한 보안 솔루션이 될 수 있지만, 개인 사용자에게는 아직 시기상조라는 평가가 나옵니다. 현재로서는 무작위로 생성된 비밀번호를 서드파티 비밀번호 관리자에 저장하고, 독립적인 TOTP(Time-based One-Time Password) 앱을 함께 사용하는 것이 사용자에게 더 많은 통제권과 유연성을 제공할 수 있습니다. 물론 비밀번호를 재사용하던 사용자들에게는 패스키가 큰 발전이지만, 그 외의 대부분의 사용자에게는 오히려 불편하고 위험할 수 있다는 점을 고려해야 합니다. 패스키 생태계는 앞으로 몇 년간 더 성숙해질 필요가 있습니다.