최근 많은 웹사이트들이 비밀번호 대신 패스키(Passkey) 사용을 권장하고 있습니다. 패스키는 비밀번호보다 강력한 보안과 편리함을 제공한다고 알려져 있지만, 일각에서는 패스키가 사용자에게 통제권 상실이라는 함정을 안겨줄 수 있다는 비판이 제기되고 있습니다. 이는 겉으로 보기에 우아한 해결책처럼 보이지만, 그 이면에는 사용자의 이익이 아닌 다른 주체들의 이익이 우선시될 수 있다는 우려를 담고 있습니다.
패스키는 FIDO 얼라이언스(FIDO Alliance)라는 컨소시엄의 발명품입니다. 이 컨소시엄에는 빅테크 기업, 소규모 기술 기업, 정부 기관, 정보 기관, 은행 등 다양한 이해관계자들이 참여하고 있습니다. 이들은 모두 패스키가 좋은 대의명분이라고 동의하지만, 각자의 이익을 추구합니다. 예를 들어, 빅테크는 광고 판매를 늘리기 위해, 정보 기관은 추적을 위해, 은행은 책임 회피를 위해 패스키를 원할 수 있습니다. 주목할 점은 FIDO 얼라이언스에 소비자 권익 단체가 포함되어 있지 않다는 것입니다. 이는 웹 표준을 결정하는 월드 와이드 웹 컨소시엄(W3C)에 공익 단체와 학계가 참여하는 것과는 대조적입니다. 즉, 패스키 표준 제정 과정에서 사용자 이익을 강력하게 대변하는 주체가 없다는 지적입니다.
물론 비밀번호의 보안 취약성은 분명한 문제입니다. 'solarwinds123'과 같은 쉬운 비밀번호 사용 사례나 하와이 비상 관리국의 비밀번호 유출 사례처럼, 비밀번호는 사용자의 부주의나 관리 소홀로 인해 쉽게 노출될 수 있습니다. 하지만 비밀번호는 직관적이고 사용자가 저장 및 공유 방식을 스스로 결정할 수 있다는 장점이 있습니다. 반면, 패스키는 사용자가 자신의 인증 정보를 최종적으로 통제하기 어렵다는 점이 문제입니다. 기존의 강력한 보안 대안으로는 문자 메시지나 이메일 기반의 2단계 인증(Two-Factor Authentication)과 더불어, 시간 기반 일회용 비밀번호(TOTP)를 사용하는 인증 앱(Authenticator app)이 있습니다. TOTP는 인터넷 연결 없이도 30초마다 새로운 코드를 생성하며, 공개 표준(RFC 6238)을 기반으로 하므로 특정 앱에 종속되지 않고 사용자가 원하는 소프트웨어나 하드웨어를 선택하여 사용할 수 있습니다. 이는 패스키가 제공하는 편리성만큼이나 강력한 보안을 제공하면서도, 사용자에게 더 많은 통제권을 부여한다는 점에서 중요한 대안으로 평가받고 있습니다.