Pass-ta-key 공격이 드러낸 패스키의 실상
원제: New Pass-ta-key attack reveals all the things we didn't know about passkeys
왜 중요한가
패스키의 실제 저장 방식에 대한 오해를 바로잡아, 기업과 개인의 올바른 인증 보안 설계에 중요한 기준을 제시한다.
2026년 8월, Palo Alto Networks 연구원 Arie Olshtein이 'Pass-ta-key'라는 공격 기법을 공개했다. 이 공격은 악성코드에 감염된 Windows 기기에서 Google Password Manager(GPM)에 저장된 모든 패스키를 탈취할 수 있다고 주장했다. 그러나 Ars Technica는 이 공격이 패스키에 고유한 신규 공격이 아님을 지적했다.
이번 연구가 불러온 혼란의 핵심은 '패스키가 TPM(Trusted Platform Module)에 저장된다'는 일반적인 오해에서 비롯됐다. FIDO Alliance가 관리하는 FIDO 2 명세는 패스키를 TPM이나 전용 하드웨어에 반드시 저장하도록 규정하지 않는다. 실제로 대부분의 플랫폼과 서드파티 패스키 관리 앱은 전용 하드웨어에 패스키를 저장하지 않는다.
TPM 저장을 선택지로 제공하는 사실상 유일한 예외는 Microsoft로, 주로 기업 사용자에게 이 옵션을 권장한다. macOS, iOS, Android 등 Windows 이외의 플랫폼은 모두 패스키를 기기 로컬에 저장한다. 이 전환은 수년 전 OS 개발자와 서드파티 앱 개발사들이 패스키의 대중화를 위해 복수 기기 간 동기화를 지원해야 한다는 현실을 인식하면서 이루어졌다. TPM에 저장하면 새 기기로의 동기화가 사실상 불가능하기 때문이다.
FIDO 명세 설계자들은 앱 권한이 충분히 세분화되어 있어 악성코드가 패스키의 핵심인 개인 키에 접근할 수 없다고 판단해 로컬 저장을 안전하다고 결론지었다. macOS, iOS, Android에서 악성코드는 OS 자체가 제로데이 취약점 등으로 침해되지 않는 한 이 격리를 우회할 수 없다. 따라서 Pass-ta-key 공격은 패스키 고유의 취약점이 아니라, 악성코드에 감염된 기기에서 앱 데이터가 노출될 수 있다는 기존에 알려진 보안 전제를 재확인한 것에 가깝다는 평가다.