패스키가 사용자의 소프트웨어·하드웨어 선택을 제한하는 수단이 될 수 있다는 우려가 나온다. 현재 주요 플랫폼은 인증기 증명을 지원하지 않지만, 웹 인증 표준(WebAuthn)은 사이트가 인증기의 보안 속성을 확인하고 허용 여부를 정할 수 있는 길을 열어 둔다.
패스키가 함정이라고 주장한 The Hack의 글은 인증기 증명(attestation)을 이용해 특정 기기나 소프트웨어만 허용할 수 있다고 지적했다. 이에 반박한 스콧 헬름(Scott Helme)은 현재 널리 쓰이는 소비자용 비밀번호 관리자들이 증명을 지원하지 않으며, 증명이 운영체제나 브라우저, 확장 프로그램, 펌웨어 버전까지 알려 주는 것도 아니라고 설명했다.
하지만 증명에 포함되는 정보는 구현에 따라 달라질 수 있다. 글은 안드로이드와 iOS에 기기 정보를 제공하는 기반 기능이 있으며, 안드로이드 인증기는 증명 과정에서 상당한 정보를 전달할 수 있다고 짚었다. 구글과 애플의 비밀번호 관리자 등 주요 소비자용 구현은 현재 증명을 지원하지 않는다. 리키 몬델로(Ricky Mondello)는 인기 플랫폼과 브라우저, 자격 증명 관리 앱이 증명을 제공하지 않는 것이 우연이 아니며, 패스키의 목표는 피싱 방지이지 신뢰 컴퓨팅이 아니라고 설명했다. 몬델로는 WebAuthn 관련 FIDO·W3C 작업 그룹에서 애플을 대표한다.
현재 패스키는 인증기를 바꿔 옮길 수 있고, 비트워든 같은 오픈소스 소프트웨어로 이동할 수도 있다. 다만 완전히 자유로운 이동은 아니다. WebAuthn은 키를 만들 때 인증기 증명을 할 수 있도록 하지만, 로그인 때는 인증기 정보가 인증 메시지에 포함되지 않는다. 따라서 로그인 과정에서 키가 다른 인증기로 옮겨졌는지 확인하기 어렵다.
표준은 인증기가 가능하면 증명을 제공해야 한다고 권고하고, 웹사이트가 증명 내용을 살펴 인증기의 보안 속성에 요구 조건을 둘 수 있다고 명시한다. WebAuthn 편집자 팀 카팔리(Tim Cappalli)는 2024년 KeePassXC 관련 논의에서 인증기 제공자를 식별하는 증명으로 특정 제공자를 차단하는 방안에 대한 반대 입장을 재고하고 있다고 밝혔다.
증명이 없어도 사이트는 인증기 식별자인 AAGUID를 기준으로 허용 대상을 제한할 수 있다. 실제로 스위스 포스트가 구글·애플·마이크로소프트 외 인증기 제공자를 허용하지 않는다는 비트워든 이용자의 불만도 소개됐다. 다만 인증기는 AAGUID를 속일 수 있으며, 표준도 이를 인정한다.
글은 이 때문에 우려를 완전히 기각하기 어렵다고 본다. 사용자 보호를 명시적으로 보장하는 표준보다 주요 인증기 제공자의 자제에 기대고 있다는 것이다. 반면 패스키가 기기 사용을 통제하려는 계획의 결과라고 볼 근거는 없다고 선을 긋는다. 원격 증명으로 기기의 운영체제를 확인하고 앱 이용을 제한하는 일은 패스키 없이도 가능하며, 구글과 애플은 이미 WebAuthn과 무관하게 기기에서 실행할 수 있는 소프트웨어를 통제할 수 있다는 설명이다.
글의 결론은 패스키 자체가 사용자를 가두기 위해 만들어졌다고 단정할 수는 없지만, 패스키가 웹사이트의 인증기 제한을 쉽게 만들 가능성은 주의할 만하다는 것이다. 현재 이용자가 선택할 수 있는 범위는 주요 플랫폼이 증명 기능을 제공하지 않는 상황에 크게 좌우된다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요