"패스키는 함정이다" vs "아니다" — 논쟁의 실제 쟁점은 어테스테이션 하나

두 글을 같이 읽어야 하는 논쟁입니다. 원글은 10월 10일 Substack 뉴스레터 Non-Functional의 "Passkeys are a trap. Do not use them.", 반박은 10월 14일 Scott Helme의 "Passkeys are not a trap"입니다.

원글의 주장

1. 패스키에는 "숨겨진 다이얼"이 있다. 사이트가 **원격 증명(attestation)**으로 승인된 패스키 관리자만 허용할 수 있고, 그 요구를 점진적으로 강화할 수 있다. 직접 만든 소프트웨어나 맞춤 OS는 차단된다.
2. "패스키"라는 이름 아래 복사 가능/불가, 전송 가능/불가, 하드웨어/소프트웨어가 뒤섞여 있어 혼란스럽다.
3. 복사 안 되는 패스키는 기기가 죽으면 같이 죽는다.
4. 기업은 이를 승인되지 않은 소프트웨어 차단이나 계정 공유 방지에 쓸 수 있다. (저자도 추측이라고 적었습니다.)

대안은 TOTP(공개 표준, 어떤 앱으로든 생성 가능)와 YubiKey입니다. 각주에서 패스키가 TOTP보다 안전하고 피싱에 강하다는 점은 인정합니다. 즉 보안이 아니라 통제권의 문제라는 글입니다.

반박의 요지

1. 동기화 패스키는 어테스테이션을 안 합니다. iCloud 키체인, Google 비밀번호 관리자, 1Password는 none을 반환합니다. 소비자 사이트가 어테스테이션을 요구하면 사용자 대부분이 바로 막히므로 현실적으로 못 합니다. 소비자 사이트에 요구하지 말라는 지침도 수년째 있습니다.
2. 어테스테이션의 범위를 잘못 알았습니다. 알려주는 건 인증기 제조사·모델(AAGUID)과 벤더 인증서 체인뿐입니다. OS, 브라우저, 확장, 루팅 여부는 드러나지 않습니다.
3. YubiKey 권장은 모순입니다. YubiKey는 어테스테이션을 수행하는 장치입니다. 기업이 "승인된 하드웨어 키만"을 강제하는 데 쓰는 게 바로 그 기능입니다.
4. TOTP는 피싱에 뚫립니다. Evilginx 같은 도구가 코드와 비밀번호를 실시간 중계합니다. 패스키는 도메인에 묶여 가짜 사이트에서 쓰이지 않습니다.

Helme가 인정한 것: 어테스테이션이 소비자 로그인에 "슬금슬금 들어올" 가능성이 있다면 반대해야 한다. TOTP는 비밀번호만 쓰는 것보다는 낫다.

두 글에 없는 것

복구와 내보내기 — 원글 제목이 암시하는 것과 달리 두 글 모두 깊게 다루지 않습니다. 이동 가능한 자격증명 교환 포맷(CXP/CXF)이 관리자들에 들어오고 있다는 사실도 두 글에 없습니다. 실제로 어테스테이션을 요구하는 소비자 사이트의 사례도 없습니다.

실무에서 할 일

서비스를 만드는 쪽이라면 결론은 간단합니다. 소비자 로그인에 어테스테이션을 요구하지 마세요. attestation: "none"이 기본이고, 그걸 바꿀 이유가 있다면 기업 내부 시스템일 때뿐입니다. 그리고 패스키를 유일한 로그인 수단으로 만들지 말고, 복구 경로(이메일, 두 번째 패스키, 하드웨어 키)를 처음부터 설계하세요. 원글이 걱정하는 "기기가 죽으면 끝"은 어테스테이션이 아니라 복구 설계의 문제입니다.

사용자라면 Helme의 권고가 맞습니다. 지원하는 곳에서는 패스키를 쓰고, 옮길 가능성이 있으면 내보내기를 지원하는 관리자를 고르세요.