핵심 요약
- 웹사이트와 기기를 묶는 '검증(Attestation)' 기능 탓에 패스키가 향후 사용자의 기기 및 자격 증명 선택권을 빼앗는 족쇄가 될 수 있다는 주장이 제기되었습니다.
- 애플 엔지니어는 일반 소비자용 패스키에 검증 강제는 절대 없을 것이라고 선을 그었으나, 개발자들은 빅테크의 독점 및 종속 위험을 경고하며 맞섰습니다.
- 기업 환경과 달리 일반 사용자 영역에서는 동기화 기반 패스키가 주류인 만큼 검증 강제는 현실성이 떨어진다는 반론과 함께 기술적 통제권을 둘러싼 찬반이 이어졌습니다.
요약 기존의 비밀번호는 메모장에 적어두든 원하는 비밀번호 관리자를 쓰든 사용자가 완전히 제어할 수 있었지만, 최근 도입이 늘고 있는 '패스키(Passkeys)'는 통제권을 웹사이트와 빅테크에 넘겨주게 될 수 있다는 우려가 제기되었습니다.
논쟁의 핵심은 웹인증(WebAuthn) 표준의 '기기 검증(Attestation)' 기능입니다. 이 기능이 활성화되면 웹사이트는 사용자가 신뢰할 수 있는 특정 하드웨어 보안 키나 검증된 기기에서 접속하고 있는지를 직접 검증하고 강제할 수 있게 됩니다. 글 작성자는 대형 플랫폼들이 처음에는 일반 패스키로 사용자를 유인한 뒤, 점진적으로 검증된 패스키만을 강제하는 방식으로 사용자의 자유를 제한하고 빅테크 종속을 심화시킬 것이라는 '트로이 목마' 가설을 제기했습니다.
이에 대해 애플의 패스키 엔지니어인 리키 먼델로(Ricky Mondello)는 정면 반박에 나섰습니다. 기기 검증은 기업용 고보안 환경에서나 쓰는 기능일 뿐, 일반 소비자용 대중 시장 패스키에는 애초에 적용될 수도 없고 목표와도 정반대라는 설명입니다. 그는 은행 등 일부 기업들이 초기에 검증 기능을 요구했으나 플랫폼과 브라우저 제조사들이 사용자의 피싱 방지라는 본래 목적을 지키기 위해 단호히 거부해왔다고 밝혔습니다.
하지만 개발자 커뮤니티에서는 과거 디지털 저작권 관리(DRM) 기술 도입 사례처럼 빅테크와 플랫폼이 초기 약속을 깨고 서서히 제한을 도입한 전례가 많다며, 검증 표준이 존재하는 한 언제든 사용자 통제권이 침해될 위험이 남아있다는 반론을 이어가며 팽팽한 논쟁을 벌였습니다.
해외 반응 번역
Ricky Mondello: 이 글은 고보안 기업 환경에서나 쓰이는 WebAuthn의 검증(attestation) 기능이 일반인을 해치는 데 악용될 거라는 전제에서 출발하고 있습니다. 대중적인 패스키에선 이런 식의 전환이 불가능합니다. 플랫폼과 브라우저들은 패스키의 목표가 피싱 방지이지 기기 통제가 아니라는 점을 확고히 지키고 있습니다. 내 눈에 흙이 들어가기 전엔 안 됩니다!
Michael Tsai: 먼델로 등의 의도는 믿지만 그들이 이를 계속 통제할 수 있을지는 회의적입니다. 애플도 동기화 연구를 하고 있고 기술이 완성되면 대형 사이트들이 이를 강제하지 못할 이유가 있을까요? 몇몇 대형 인증 앱들만 담합해도 소규모 앱들은 배제될 수 있습니다.
varx: 웹사이트들이 검증을 요구해왔다는 사실 자체가 본문의 핵심을 뒷받침합니다. 브라우저가 지금 지원하지 않는다고 하지만 과거에도 그런 지원 정책은 얼마든지 바뀌어왔습니다. 이미 특정 패스키 벤더만 허용하는 사이트들이 나오는 현실은 실질적인 자유의 제한입니다.
Sponsored · 광고