패스키 '함정론' 반박글 읽음
최근 '패스키는 함정이다, 쓰지 마라'는 글이 돌았는데 — 요지는 '패스키 쓰면 웹사이트가 어테스테이션으로 네 기기/OS까지 검증해서 결국 승인된 소프트웨어만 허용하게 될 거다'였음. 이 글은 그걸 하나씩 반박함. 일반 소비자용(동기화되는) 패스키는 애초에 어테스테이션을 안 주고, 어테스테이션 자체도 인증기 모델명(AAGUID)만 증명하지 OS나 브라우저까진 못 봄. YubiKey 같은 하드웨어 키가 오히려 어테스테이션 제공 대표주자라는 것도 반전. 그리고 'TOTP로 돌아가자'는 결론도 깨짐 — TOTP 코드는 가짜 사이트에 그대로 입력해버리면 탈취당하는데(피싱 취약), 패스키는 도메인에 묶여있어서 애초에 가짜 사이트에 쓸 수가 없음. 보안 논쟁에서 '통념을 반박하는 통념'이 한 겹 더 있을 때 재밌음 — 결론만 보지 말고 전제(어테스테이션이 뭘 증명하는지)부터 깨보는 습관.
↗ scotthelme.co.uk