최근 비밀번호를 대체할 차세대 인증 기술로 주목받는 패스키(Passkey)가 보안성과 편의성에도 불구하고 사용자 통제권을 침해할 수 있다는 비판에 직면했습니다. 패스키는 중간자 공격에 강하고 비밀번호보다 안전하며 편리하다는 장점이 분명하지만, 서비스 제공자가 허용하는 인증 방식과 소프트웨어를 제한하여 사용자가 자신의 자격 증명(credential)을 다룰 자유를 빼앗을 수 있다는 지적입니다.
비판의 핵심은 '원격 증명(remote attestation)' 기술입니다. 현재 대부분의 웹사이트는 이를 요구하지 않지만, 향후 서비스가 승인된 인증 환경에서만 로그인을 허용하는 수단으로 활용될 수 있다는 우려가 나옵니다. 이는 사용자가 리눅스(Linux)나 커스텀 운영체제(OS)를 사용하거나, 특정 브라우저 확장 기능을 사용하는 것을 막을 수 있습니다. 또한, '패스키'라는 이름 아래 복사 가능/불가능, 이전 가능/불가능, 하드웨어/소프트웨어 기반 등 다양한 속성의 인증 수단이 묶여 있어 사용자가 자신이 만든 자격 증명의 성질을 정확히 알기 어렵다는 점도 문제로 지적됩니다. 반면, 시간 기반 일회용 비밀번호(TOTP)는 공개 표준에 따라 다양한 소프트웨어와 기기에서 코드를 생성할 수 있으며, 사용자가 시드(seed)의 보관과 공유 방식을 직접 정할 수 있어 패스키와 대비됩니다.
이러한 논란은 FIDO Alliance(패스키를 만든 연합)의 구성원들이 대형 기술 기업, 정부, 정보기관 등 다양한 이해관계를 가지고 있다는 점에서 더욱 복잡해집니다. 이들의 동기가 모두 사용자의 이익을 최우선으로 하지 않을 수 있다는 비판적 시각이 존재합니다. 패스키의 광범위한 보급이 결국 승인되지 않은 소프트웨어 실행을 차단하거나, 계정 공유를 넘어 특정 소프트웨어 사용을 제한하는 데 활용될 가능성도 제기됩니다. 이는 사용자가 자신의 기기에서 어떤 소프트웨어를 실행할지 선택할 자유, 그리고 개인정보 보호와 같은 근본적인 디지털 권리와 직결될 수 있습니다. 따라서 개인정보 보호와 소프트웨어 선택의 자유를 중시한다면, 현재의 패스키 도입을 신중하게 고려하거나 TOTP, 독립형 보안 키(예: YubiKey)와 같은 대안을 사용하는 것이 권장됩니다.