블로그 “Non-Functional”을 작성한 The Hack 氏はこうした 패스키의 안전성과 편의성을 인정하면서도 “사용자가 자신의 인증 정보를 자유롭게 관리할 수 없게 될 가능성이 있다는 것”이라고 주장했습니다. The Hack 氏は특히 “아테스테이션”을 문제시하는 것이었습니다. 아테스테이션은 패스키를 사용하여 인증에 사용하는 기기가 정품임을 증명하는 메커니즘입니다. 예를 들어, 웹사이트 측은 아테스테이션을 이용하여 패스키를 생성한 인증 기기의 제조사나 종류 등을 확인하고, 특정 기기에서 생성된 패스키만 받도록 할 수 있습니다. Apple과 Google, Microsoft의 3사는 패스키에 공통의 규격을 채택하고 있지만, 사실 그 보관 및 관리 방법에는 차이점이 있습니다. 예를 들어, Apple은 패스키를 iCloud 키체인에 저장하고, 같은 Apple 계정으로 이용하는 iPhone이나 Mac 등과 서로 동기화합니다. 패스키는 암호화되어 있으며, Apple 자신도 그 내용을 읽어낼 수 없습니다. 또한, Apple의 일반적인 패스키는 아테스테이션에 대응하지 않으며, 웹사이트 측이 인증 기기의 제조사 등을 증명하게 할 수 없습니다.
한편, Microsoft는 초기에는 Windows Hello를 사용하여 패스키를 개별 PC에 저장하는 방식을 중심으로 제공하고 있었습니다. 이 방식에서는 패스키가 장치에 연결되어 다른 장치에는 동기화되지 않습니다. 그러나 2025년 11월에는 Microsoft Edge의 Microsoft 비밀번호 관리자(Microsoft Password Manager)를 통한 패스키 저장 및 동기화 기능을 도입하여 Microsoft 계정을 통해 여러 Windows PC에서 이용할 수 있도록 했습니다. 또한, 기업용 Microsoft Entra ID에서는 관리자가 인증 장치 유형을 제한하는 데 아테스테이션(attestation)을 사용할 수도 있습니다.
따라서, 아테스테이션이라는 메커니즘은 존재하지만, 기사 작성 시점에서는 거의 도입되지 않았습니다. 그러나, The Hack 氏は「이러한 제한이 단계적으로 확산되면, 향후 기업이 인정하지 않는 OS나 소프트웨어를 사용하는 사용자가 웹 서비스로부터 배제될 가능성이 있다”고 지적했습니다. The Hack 氏에 따르면, 예를 들어 오래된 스마트폰에 자체 OS를 설치하여 계속 사용하는 것일 뿐만 아니라, 기업이 인정하지 않는 브라우저를 이용하는 것이 어려워질 수 있다는 점도 예상할 수 있다고 합니다. 즉, “패스커 자체의 안전성이라기보다는, 안전성을 높이기 위한 메커니즘이 미래에 기업이 사용자의 격리(囲い込み)에 이용될 가능성이 있다”는 것이 The Hack 氏의 주장입니다. The Hack 氏의 블로그 글은 Hacker News에서도 큰 주목을 받았지만, 댓글欄에는 반론도 제기되었습니다. 한 사용자는 “아테스테이션을 요구할 수 있는 것은 기본적으로 패스커의 등록 시점이며, 등록 시점에 획득하지 않은 인증서를 로그인 시점에 되돌아가서 요청하는 것은 불가능하다”고 지적했습니다. 특히 Apple의 패스커 구현이 아테스테이션에 대응하지 못하는 탓에, 웹사이트가 갑자기 아테스테이션을 필수로 하면 많은 정규 사용자가 이용할 수 없게 되는 문제가 있습니다. 또한, 은행 앱 등에서 변조된 Android 端末이 이용할 수 없게 되는 문제도 실제로 존재하지만, 이는 패스커와는 다른 메커니즘에 의한 제한이며, 양자를 혼동해서는 안 된다는 지적도 있습니다. 더불어 “そもそもウェブサービスを運営する企業은 패스커를 사용하지 않더라도 자체적인 인증 방식으로 사용자 이용 환경을 제한할 수 있다”는 반론도 있으며, 기업의 격리 문제만을 패스커만의 문제로 취급하는 것은 적절하지 않으며, 패스커에는 기존 인증 방식에는 없는 장점이 있다는 반론이 있습니다.
원문 보기 | 출처: Gigazine