Nishant Kaushik, Chief Technology Officer, FIDO Alliance

최근 몇 달 사이 “패스키에 중대한 취약점이 발견되었다”는 보도가 반복적으로 등장하고 있다. 그중 일부는 자신들이 판매하는 보안 솔루션을 홍보하는 데 목적을 둔 일부 기술 벤처의 주장으로, “패스키를 탈취할 수 있다”는 식의 과장된 메시지를 담고 있다. 일부 언론은 이를 선정적으로 다루며 마치 패스키 스펙 자체가 무력화된 것처럼 묘사한다. 그러나 실제로 드러난 것은 패스키의 결함이 아니라, 패스키가 사용되는 운영 환경의 침해와 구현상의 오류다. 패스키 자체는 여전히 설계대로 안전하게 작동한다.

패스키는 공개키 암호 방식을 활용하는 FIDO 인증 크리덴셜(Credentials) 이다. 개인키는 사용자의 기기(스마트폰, FIDO 시큐리티키 등)에서만 생성되고 사용자의 통제하에 보관·관리·사용되고, 서비스에는 대응되는 공개키만 저장된다. 로그인 과정에서 서비스는 난수 값을 사용자 기기에 전송하고, 기기는 바인딩된 개인키로 이 값을 서명한다. 서명 결과는 다시 서비스로 전송되어 공개키로 검증되고, 일치할 경우 로그인은 완료된다. 이 과정은 빠르면서도 안전하게 이뤄지며, 개인키는 절대 서비스로 전달되지 않는다. 이러한 구조는 피싱, 자격 증명 탈취, 재사용 공격, 데이터베이스 유출과 같은 전통적인 공격에 근본적으로 저항한다. 패스키 보안 모델을 깨뜨리려면 개인키를 직접 훔쳐야 하지만 이는 기기 자체를 손상시키지 않는 한 암호학적으로 불가능하다.

실제로 무엇이 문제였던 것인가?

연구자들이 “패스키가 무력화되었다고 주장할 때” 실제 의미하는 것은 패스키 자체가 아니라 패스키가 동작하는 환경이 이미 손상된 경우다. 예를 들어:

• 브라우저 취약점: 악성 확장 프로그램이 세션을 가로채거나 사용자 행위에 영향을 미치는 경우
• 기기 손상: 악성코드가 엔드포인트를 장악한 경우
• 애플리케이션 취약점: 인증 흐름이 잘못 구현된 경우

이러한 경우 공격자는 신규 패스키 등록 절차를 가로채 자신이 제어하는 키를 심을 수 있다. 그러나 이는 기존에 등록된 패스키가 탈취된 것이 아니며, 운영 환경이 무너졌을 때 발생하는 우회 공격일 뿐이다.
또한 구현 단계의 부적절한 설계 역시 큰 위험 요인이다. 많은 서비스가 여전히 패스키 도입 과정에서 비밀번호나 OTP를 대체 인증 수단으로 남겨두고 있으며, 공격자는 이를 악용해 사용자를 더 약한 인증으로 끌어내릴 수 있다. 흔히 “다운그레이드 공격”이라 불리는 방식이 바로 이런 대체 경로에서 비롯된다. 따라서 패스키의 보안성을 약화시키는 것은 스펙이 아니라, 대체 인증 수단을 부적절하게 허용한 구현 방식이다.

자극적 헤드라인에 속지 마라: 패스키는 설계대로 작동한다

패스키를 뒷받침하는 암호학적 구조나 기술 표준에서 약점이 발견되었다는 보고는 없다. 연구자들이 시연하는 것은, 사용자 환경이 이미 침해된 경우 공격자가 원래는 안전한 크리덴셜을 오용하거나, 안전한 인증 절차를 우회할 가능성이 있다는 시나리오다. 이는 의미 있는 보안관련 논의이며, 패스키가 안전한 인증의 최고의 표준이라 하더라도 종합적인 보안 프로그램의 필요성이 사라지지 않는다는 점을 상기시킨다.

보안과 연구에 대한 FIDO 얼라이언스의 약속

FIDO 얼라이언스는 보안 강화를 위한 지속적인 연구와 엄격한 검증, 그리고 회원사 및 보안 커뮤니티와의 협력에 전념하고 있다. 회원사들은 양자내성암호(Post-Quantum Cryptography), 딥페이크와 같은 신종 위협이 보안에 미칠 영향을 적극적으로 탐구하고 있으며, 책임 있는 태도로 연구를 수행하는 보안 전문가들과의 협력을 환영한다. 이러한 건설적 협력은 관련 표준과 인증 프로그램, 그리고 구현 품질을 한층 더 강화한다. 선정적인 헤드라인이 일부 기업의 마케팅에는 도움이 될 수 있지만, 실질적인 보안 성과는 선제적 연구와 개방적이고 책임 있는 대화에서 나온다. 이것이 바로 FIDO 얼라이언스가 추구하는 기본 정신이다.

맺음말

제품, 보안, 규제 준수를 책임지는 모든 관계자에게 패스키 도입과 관련해 의미하는 바는 다음과 같다.

• 기본 원칙에 집중: 패스키는 오늘날 대부분의 침해를 유발하는 피싱, 자격 증명 탈취, 재사용 공격을 근본적으로 제거한다.
• 신중한 도입: 통합 및 배포 계획에 주의를 기울이고, 가이드라인과 모범사례를 따르되 특히 대체 인증 수단 모델에 각별히 유의해야 한다.
• 환경 보안과 병행: 엔드포인트 보안, 브라우저 관리, 애플리케이션 강화 등 전반적인 보안 체계를 지속적으로 강화하는 것이 필수적이다.
• 공인된 시험인증 활용: FIDO 시험인증을 거친 구현을 사용하면 플랫폼과 기기 간 일관성을 보장하고 통합 리스크를 줄일 수 있다.

최근의 논란이 우리에게 보여준 것은 단순하다. 운영 환경이 침해되거나, 대체 인증 수단을 부적절하게 허용할 경우 어떤 인증 체계도 안전할 수 없다. 그러나 이는 패스키의 근본적 가치를 훼손하지 않는다. 패스키는 여전히 사기와 침해 위험을 줄이고, 디지털 신뢰를 강화하는 가장 강력한 수단이다. 한국의 금융, 공공, 통신 업계에서 패스키 도입이 본격화되고 있는 지금, 우리가 기억해야 할 것은 “패스키 자체가 위험하다”는 오해가 아니라, 환경 보안과 올바른 구현이 병행될 때 비로소 패스키의 가치가 극대화된다는 진실이다.