패스키는 함정이 아니다

일반적으로 사용하는 동기화 패스키는 웹사이트에 인증기 증명(attestation)을 제공하지 않으므로, 인증기 증명을 우려해 비밀번호와 TOTP로 돌아갈 필요는 없음 WebAuthn 인증기 증명은 인증기의 제조사와 모델을 확인하는 기능으로, 운영체제나 브라우저 확장 프로그램, 루팅 여부를 검증하는 기능이 아님 인증기 증명을 피하려고 YubiKey를 선택하는 것은 앞뒤가 맞지 않음. YubiKey는 실제로 인증기 증명 인증서를 탑재한 하드웨어 인증기임 TOTP는 비밀번호만 쓰는 것보다 안전하지만 실시간 피싱에 취약함. 반면 패스키는 생성된 도메인에 묶여 있어 가짜 사이트에서 사용할 수 없음 패스키를 지원하는 사이트에서는 계속 사용하고, 신뢰하는 비밀번호/패스키 관리자에 저장하는 것이 권장됨. 자격 증명의 이동이 중요하다면 이를 지원하는 제공업체를 선택하면 됨 패스키를 피하라는 권고의 전제 Passkeys are a trap. Do not use them.은 비기술 사용자를 대상으로 패스키 대신 비밀번호와 TOTP를 사용하라고 권고함 해당 글의 핵심 우려는 웹사이트가 인증기 증명을 점차 강화해 승인된 소프트웨어와 수정하지 않은 운영체제에서만 로그인을 허용하게 된다는 것임 LineageOS 사용이나 Netflix 비밀번호 공유가 제한될 수 있다는 시나리오에 uBlock Origin, FIDO Alliance 회원사 목록, 영국의 이미지 스캔 제안까지 연결함 그러나 이 시나리오는 현재 동기화 패스키가 제공하는 정보와 WebAuthn 인증기 증명의 범위에 부합하지 않음 동기화 패스키는 인증기 증명을 제공하지 않음 iCloud Keychain, Google Password Manager, 1Password, Bitwarden 등에 저장되는 동기화 패스키는 웹사이트에 인증기 증명문을 제공하지 않음 사이트가 요청하더라도 반환되는 값은 none임 소비자 대상 웹사이트가 인증기 증명을 요구하면 기존 사용자 거의 모두의 접근을 즉시 차단하게 됨 소비자 대상 사이트에는 인증기 증명을 아예 요청하지 말라는 지침이 이미 수년간 적용돼 왔음 WebAuthn 인증기 증명의 실제 범위 WebAuthn 인증기 증명이 존재할 때 사이트가 확인할 수 있는 것은 AAGUID로 식별되는 인증기의 제조사와 모델이며, 제조업체의 인증서 체인이 이를 뒷받침함 이 정보는 운영체제, 브라우저, 확장 프로그램이나 휴대전화의 루팅/탈옥 여부, 펌웨어 버전을 알려...