“패스키 쓰지 마세요, 함정입니다” 빅테크의 신기술에 경고 날린 글

요약 최근 여러 웹사이트에서 기존 비밀번호를 없애고 '패스키(Passkey)' 도입을 강력하게 권장하고 있지만, 이는 겉만 번지르르한 '트로이 목마'이자 함정이라는 주장이 제기되었습니다. 표면상으로는 패스키가 기존 방식보다 더 안전하고 편리해 보일 수 있으나, 정작 일반 사용자의 권익을 최우선으로 두고 설계된 기술이 아니라는 지적입니다. 무엇보다 기존 비밀번호나 인증 앱, 물리적 보안 키와 달리 패스키는 사용자가 최종적인 통제권을 행사할 수 없으며, 웹사이트 측이 사용자의 자율성을 점진적으로 박탈할 수 있는 숨은 장치를 쥐게 된다는 점이 가장 큰 문제로 꼽힙니다. 패스키를 만들어낸 주체인 'FIDO 얼라이언스(FIDO Alliance)'의 구성을 살펴보면 이러한 우려는 더욱 짙어집니다. 이 연합체는 빅테크 기업, 각국 정부, 정보기관, 은행, 중소 IT 기업 등 다양한 이해관계자로 구성되어 있습니다. 각자 광고 판매, 감시·추적, 면책, 비용 절감 등 자신들의 이익을 추구하지만, 정작 일반 소비자의 권익을 강력하게 대변하는 단체는 단 하나도 포함되어 있지 않습니다. 이는 공익 단체와 학계, 웹 창시자 팀 버너스리 등이 함께 참여하는 W3C 같은 웹 표준 기구와도 크게 대비되는 대목입니다. 물론 솔라윈즈의 'solarwinds123' 비밀번호 방치 사례나 하와이 비상관리국의 포스트잇 비밀번호 노출 해프닝처럼 기존 비밀번호 체계에 보안상 취약점이 존재하는 것은 사실입니다. 하지만 FIDO 얼라이언스가 패스키로 해결했다고 주장하는 문제는 이미 시간 기반 일회용 비밀번호(TOTP, 이른바 '인증 앱')라는 기술로 이미 해결된 상태입니다. 공개 표준(RFC 6238) 기반인 TOTP는 구글 OTP 같은 특정 기업의 앱에 종속되지 않으며, 스마트폰뿐 아니라 노트북이나 90년대 게임보이에서도 구동할 수 있을 정도로 사용자가 보관 방식과 소프트웨어를 자유롭게 선택할 수 있습니다. 이미 훌륭한 대안이 존재함에도 사용자 통제권을 빼앗는 패스키로 생태계를 몰아가는 흐름에 주의해야 한다는 지적입니다.