최근 온라인 커뮤니티를 중심으로 '패스키(Passkey)는 함정이며 사용하지 말아야 한다'는 주장이 확산되면서 사용자들의 혼란이 가중되고 있습니다. 이 주장의 핵심은 웹사이트가 패스키를 통해 사용자의 기기 정보나 운영체제(OS) 수정 여부까지 파악하고 통제할 수 있다는 우려입니다. 그러나 이는 패스키의 작동 방식, 특히 동기화 패스키와 WebAuthn 인증기 증명(attestation)의 실제 범위에 대한 오해에서 비롯된 것으로 보입니다.
일반적으로 우리가 사용하는 아이클라우드 키체인(iCloud Keychain), 구글 비밀번호 관리자(Google Password Manager), 1패스워드(1Password), 비트워든(Bitwarden) 등에 저장되는 동기화 패스키는 웹사이트에 인증기 증명문을 제공하지 않습니다. 즉, 웹사이트가 요청하더라도 반환되는 값은 '없음(none)'입니다. WebAuthn 인증기 증명은 인증기의 제조사와 모델을 식별하는 AAGUID 정보를 제공할 뿐, 사용자의 운영체제나 브라우저, 확장 프로그램, 심지어 휴대전화의 루팅/탈옥 여부까지 알려주지 않습니다. 따라서 패스키가 개인의 기기 환경을 감시하거나 통제하는 수단으로 사용될 것이라는 우려는 현재로서는 사실과 다릅니다. 오히려 소비자 대상 웹사이트에는 인증기 증명을 아예 요청하지 말라는 지침이 수년간 적용되어 왔습니다.
'패스키는 함정'이라는 주장은 피싱에 취약한 TOTP(Time-based One-Time Password) 대신 패스키를 사용하라는 권고를 뒤집는 결과를 초래할 수 있습니다. TOTP는 비밀번호 단독 사용보다는 안전하지만, 사용자가 가짜 사이트에 코드를 입력할 경우 실시간 피싱 공격에 취약합니다. 반면 패스키는 생성된 도메인에 묶여 있어 가짜 사이트에서는 사용할 수 없으며, 사용자가 직접 코드를 읽어 전달하거나 잘못 입력할 여지도 없어 피싱 저항성이 매우 높습니다. 따라서 패스키를 피하고 TOTP로 돌아가는 것은 보안상 후퇴이며, 피싱 위험에 더 노출될 수 있습니다.
물론 패스키의 사용자 경험이 아직 완벽하지 않고, 여러 기기 및 서비스 간의 호환성 문제로 혼란을 겪는 사용자들이 많은 것은 사실입니다. 하지만 이는 기술 자체의 보안 취약성보다는 구현의 문제에 가깝습니다. 현재 패스키는 계정을 보호하는 데 사용할 수 있는 최선의 수단 중 하나이므로, 지원하는 사이트에서는 신뢰할 수 있는 비밀번호/패스키 관리자에 저장하여 사용하는 것이 권장됩니다. 미래에 인증기 증명 요구가 확산될 가능성을 완전히 배제할 수는 없지만, 현재로서는 그런 변화가 일어나지 않았고 주요 제공업체들도 이를 지원하지 않고 있습니다. 현재의 우려 때문에 패스키 사용을 주저하는 것은 오히려 피싱 위험에 노출되는 결과를 낳을 수 있습니다.