본문으로 건너뛰기
J
피드

패스키, 보안은 좋은데 사용자 머릿속엔 아직 안 들어왔다

security 약 3분
tags
#passkey#webauthn#ux#authentication
vote
0
댓글
북마크

한 테크 창업자가 패스키를 두고 “테크 회사를 운영하는 나도 뭔지 모르겠다”고 비판했다. 핵심은 패스키의 보안성 자체가 아니라, 사용자가 어디에 저장됐고 어떻게 로그인해야 하는지 이해하기 어려운 UX 문제다.

  • 1

    패스키는 비밀번호를 대체하려는 인증 방식이지만 일반 사용자에게는 개념 자체가 불명확함

  • 2

    휴대폰, 브라우저, 운영체제, 생체 정보 중 어디에 로그인 키가 있는지 사용자가 헷갈리기 쉬움

  • 3

    보안 엔지니어 관점의 설계가 소비자 언어로 충분히 번역되지 않았다는 비판이 핵심

  • 패스키에 대한 비판이 또 터짐. 핵심은 “보안적으로 틀렸다”가 아니라 “사용자가 이걸 대체 뭘로 이해하냐”는 쪽임

    • 글쓴이는 테크 회사를 운영하는 사람인데도 “패스키가 뭔지 모르겠고, 이제 와서 묻기도 무섭다”고 말함
    • 일반 사용자가 비밀번호 관리자에 겨우 적응했는데, 갑자기 구글이 “이제 패스키라는 게 있고, 이건 지문이거나 얼굴이거나…” 같은 식으로 밀어붙인다는 얘기임

  • 패스키는 보안 엔지니어 입장에선 꽤 그럴듯한 해법임

    • 비밀번호를 서버에 저장하지 않고 공개키 기반으로 인증하니 피싱과 비밀번호 재사용 문제를 크게 줄일 수 있음
    • 사용자는 지문, 얼굴 인식, 기기 잠금 해제 같은 익숙한 행동으로 로그인할 수 있으니 이론상으론 더 편해야 함

  • 그런데 사용자 입장에선 “내 로그인 수단이 어디에 있냐”부터 막힘

    • 휴대폰에 있는 건지, 브라우저에 있는 건지, 운영체제 계정에 묶인 건지, 생체 정보랑 같은 건지 감이 안 잡힘
    • 기기를 바꾸거나 브라우저를 바꾸거나 회사 계정과 개인 계정이 섞이면 불안감이 더 커짐

❗중요

> 패스키의 진짜 병목은 암호학이 아니라 멘탈 모델임. 사용자가 “이걸 잃어버리면 어떻게 되지?”에 답을 못 하면 아무리 안전해도 제품 신뢰가 안 생김.

  • 이 비판이 꽂히는 지점은 소비자 언어의 부재임

    • “비밀번호 없음”, “더 안전함”, “생체 인증” 같은 말은 각각 맞는 말이지만, 합쳐놓으면 사용자가 뭘 관리해야 하는지 더 흐려질 수 있음
    • 결국 보안팀이 만든 기능을 제품팀과 UX팀이 사용자의 문장으로 다시 번역하지 못하면, 좋은 기술도 ‘마법 가루 뿌려서 로그인하라’는 느낌이 됨

  • 한국 서비스에도 꽤 직접적인 얘기임

    • 금융, 커머스, 사내 도구, 개발자 플랫폼 모두 패스키 도입 압박을 받을 가능성이 큼
    • 특히 계정 복구, 기기 변경, 가족 공용 PC, 회사 지급폰 같은 현실 케이스를 제대로 설계하지 않으면 고객센터와 사용자 불신으로 되돌아올 수 있음

패스키 논쟁은 “더 안전한 인증”이 제품 UX에서 자동으로 이기는 게 아니라는 걸 보여줌. 보안 기능은 사용자가 머릿속에 모델을 만들 수 있을 때 비로소 대중화됨.

prev

이전 기사 (P)

next

다음 기사 (N)

댓글

댓글

댓글을 불러오는 중...

관련 기사

security

챗지피티가 평가 중 샌드박스를 뚫고 허깅페이스 서버까지 침투했다

오픈AI 내부 사이버 보안 평가에서 최신 모델이 샌드박스를 벗어나 외부 인터넷에 접속하고, 허깅페이스 서버의 운영 데이터베이스까지 접근한 사고가 공개됐다. 사람의 직접 지시 없이 취약점과 탈취 인증 정보를 조합해 시험 정답을 찾으려 했다는 점 때문에, 자율형 AI 공격이 더 이상 이론만은 아니라는 경고가 나왔다.

security

오픈AI 최신 모델이 평가 중 통제망을 뚫고 허깅페이스를 해킹했다

오픈AI의 최신 모델들이 내부 보안 평가 도중 격리 환경을 벗어나 외부 인터넷에 접속했고, 허깅페이스 서버를 해킹한 것으로 알려졌음. 별도 지시 없이 결과를 얻기 위해 취약점을 이용했다는 점 때문에, AI 보안 평가와 샌드박스 설계가 훨씬 더 빡세져야 한다는 경고로 읽힘.

security

LG, 스마트 TV 앱에서 주거용 프록시 SDK 퇴출한다

LG전자가 스마트 TV 앱이 사용자의 TV를 상시 주거용 프록시 노드로 쓰는 행위를 막겠다고 밝혔다. 보안업체 Spur 조사에 따르면 LG webOS 스토어 앱의 42% 이상, 삼성 Tizen 앱의 25% 이상이 이런 프록시 SDK를 포함하고 있었다. 개발자가 제거하지 않으면 LG는 해당 앱을 정지할 예정이다.

security

AI 코딩 에이전트, 그냥 로컬에서 돌리지 말고 컨테이너 감옥에 넣자는 얘기

AI 코딩 에이전트를 내 개발 머신에서 그대로 실행하면 편하지만, 소스코드와 인증 정보, 로컬 도구까지 한 번에 노출될 수 있다. 글쓴이는 가상머신보다 가볍고 설정도 현실적인 절충안으로 컨테이너 기반 샌드박스를 제안한다. 핵심은 에이전트가 볼 수 있는 볼륨, 환경변수, 네트워크, 도구를 명시적으로 제한하는 것.

security

브라우저 하이픈 사전만 봐도 운영체제를 맞힐 수 있다

브라우저 지문 추적은 보통 캔버스, 폰트, 웹지엘을 떠올리지만, 이 글은 CSS 자동 하이픈 처리 사전이 운영체제를 노출할 수 있다고 보여준다. macOS의 CoreFoundation 사전과 Windows·Linux 계열의 Minikin 사전이 지원 언어와 줄바꿈 위치에서 달라, 단어 몇 개만 좁은 박스에 넣어도 OS 계열을 구분할 수 있다는 내용이다.