Passkeys는 함정이 아니다
원제: Passkeys are not a trap
왜 중요한가
passkeys의 기술적 오해가 확산되면 피싱에 취약한 TOTP로의 역행을 부추길 수 있어 보안 인식 정정이 시급하다.
보안 연구자 Scott Helme이 2026년 10월 14일 'Passkeys는 함정이니 사용하지 말라'는 글이 Hacker News에서 주목받자 반박 글을 게재했다. 원문은 attestation을 근거로 passkeys 사용 중단과 TOTP 복귀를 권고했으나, Helme은 주요 기술적 주장이 실제 동작 방식과 다르다고 조목조목 지적했다.
문제의 원문은 passkeys의 attestation 기능이 '숨겨진 다이얼'처럼 작동해 결국 사용자를 승인된 소프트웨어·OS로만 가두는 통제 수단이 될 것이라 경고했다. Helme의 반박은 크게 네 가지다.
첫째, 대부분의 사용자가 쓰는 synced passkeys(iCloud Keychain, Google Password Manager, 1Password, Bitwarden 등)는 attestation 문을 반환하지 않는다. 사이트가 요청해도 응답값은 'none'이다. Helme 본인이 오픈소스 passkeys 라이브러리를 직접 개발했기에 이를 확인했다고 밝혔다. 만약 웹사이트가 attested passkeys만 허용한다면 자사 사용자 대부분을 즉시 차단하는 결과를 초래하며, 소비자 대상 사이트에는 수년 전부터 attestation 요청 자체를 하지 말라는 가이드가 권고되고 있다.
둘째, attestation은 OS·브라우저·확장 프로그램·루팅 여부를 증명하지 않는다. WebAuthn attestation이 사이트에 알려주는 것은 인증기의 제조사·모델(AAGUID)뿐이다.
셋째, 원문이 attestation 우려의 대안으로 YubiKey를 추천한 것은 자가당착이다. YubiKey는 attestation 인증서가 기본 탑재된 대표적인 하드웨어 인증기다.
넷째, TOTP는 피싱에 취약하다. Evilginx 같은 중간자 공격 도구는 실시간으로 비밀번호와 TOTP 코드를 릴레이해 세션을 탈취한다. 반면 passkey는 생성된 도메인에 암호학적으로 바인딩되어 있어 가짜 사이트에서는 작동 자체가 불가능하다.