애플, 구글, 마이크로소프트가 패스키를 기기 간에 동기화하다 — 그리고 플랫폼 간에도

2022년 무렵 비밀번호는 인터넷에서 가장 잘 문서화된 보안 구멍이었다. TechCrunch가 인용한 Verizon의 연례 침해 보고서에 따르면, 취약하고 쉽게 추측되는 자격 증명이 데이터 침해의 80% 이상에 관여했다. FIDO 얼라이언스와 W3C는 2018년부터 기술적 해답을 갖고 있었다. 바로 WebAuthn으로, 사용자 기기에서 생성된 키 쌍으로 각 사이트에 서명하므로 서버는 훔칠 가치가 있는 비밀을 보관하지 않고 피싱 페이지는 아무것도 얻지 못한다. 그러나 비밀번호 없는 로그인은 기업용 보안 키의 틈새 영역에 머물렀다.

걸림돌은 암호학이 아니라 운영이었다. FIDO 자격 증명은 한 기기에 존재했고 새 휴대폰이나 노트북마다 웹사이트별로 다시 등록해야 했으므로, 기기 세 대를 쓰는 일반인이 굳이 그렇게 하지 않을 것이었다. 2022년 5월 5일 세계 비밀번호의 날에 애플, 구글, 마이크로소프트는 바로 그 문제를 1년 안에 해결하겠다고 공동으로 약속했다. 패스키가 사용자의 기기 간에 동기화되고, 휴대폰이 근처 컴퓨터의 앱에 로그인할 수 있으며, 전체가 macOS/Safari, Android/Chrome, Windows/Edge를 넘나들며 작동한다는 것이었다. 즉 아이폰의 패스키로 Windows PC의 Chrome에 로그인하는 것이다.

두 달 후 WWDC에서 애플은 패스키를 iOS 16과 macOS Ventura 베타에 탑재했고 그 기능에 아이콘까지 붙였다. 그리고 2022년 8월 마이크로소프트의 아이덴티티 부문 부사장 Alex Simons는 세 번째 조각을 확인했다. 세 회사 모두 'FIDO 인증'이 아니라 일반 명사 '패스키'를 사용하므로, 일반 사용자는 누구의 기기를 쓰든 하나의 이름만 만나게 된다는 것이었다. 어느 누구도 그 단어를 상표로 주장하지 않았다.

이것이 통한 이유는 세 경쟁자가 FIDO 표준을 소유하지는 않지만 그 유통을 소유하기 때문이다. 운영체제, 브라우저, 그리고 이미 수십억 대의 기기에 있는 자격 증명 클라우드가 그것이다. 동시다발적인 크로스 플랫폼 약속이 4년간 정체된 프로토콜을 사람들이 실제로 받게 되는 기능으로 바꾸었다. CISA 국장 Jen Easterly는 이 움직임을 사이버보안 기준선을 높이는 일이라며 공개적으로 지지했다.

자격 증명을 비밀번호처럼 동기화하되 피싱 방지는 유지한다

기존 FIDO 배포 모델은 기기별, 사이트별 재등록을 요구했고, 여러 기기를 쓰는 소비자는 결코 그렇게 하지 않을 것이었다. 클라우드 동기화는 그 비용을 0으로 줄이면서 피싱 저항성은 유지했다.

세 플랫폼 공급업체가 동시에 약속했으므로 어떤 사용자도 독점적인 비밀번호 없는 사일로에 직면하지 않았다. 사일로 문제야말로 이전의 단일 공급업체 방식들을 죽인 원인이었다.

'패스키'를 평범한 일반 명사로 합의한 것은 표준에 소비자 대상의 단일한 이름을 부여했다. 기술 표준의 마지막 구간은 어휘다.

휴대폰을 로밍 인증기로 사용함으로써 오래된 노트북도 하드웨어 보안 키를 사지 않고 도입할 수 있었다.

표준이 정체될 때는 명세가 아니라 등록 흐름을 읽어라. 2018년 프로토콜은 완성되어 있었다. 2022년에 중요했던 것은 동기화, 하나의 공동 출시, 그리고 평범한 이름이었다. 유통이 해자였다.

애플은 WWDC 2022에서 패스키를 시연하고 그해 여름 iOS 16과 macOS Ventura 베타에 탑재했다. 구글은 Android 개발자 도구가 '2022년 말쯤' 열릴 것이라고 밝혔다. 마이크로소프트는 '가까운 미래에' 휴대폰 패스키를 통한 마이크로소프트 계정 로그인을 지원하겠다고 약속했다. 2022년 8월까지 세 회사는 '패스키'라는 이름에도 합의했고, CISA 국장은 이 공동 서약을 미국의 보안 기준선을 높이는 이정표라고 불렀다.