최근 연구원이 윈도우 환경의 구글 패스워드 매니저에서 패스키를 탈취하는 ‘패스타키(Pass-ta-key)’ 공격 사례를 발표했습니다. 업계에서는 패스키가 반드시 격리된 하드웨어(TPM)에 저장될 것이라는 일반적인 오해로 인해 혼란이 발생했지만, 실제로는 기기 내 로컬 저장이 표준입니다. 이는 맬웨어에 감염된 윈도우 환경의 앱 권한 및 샌드박스 구조적 취약성 때문에 발생한 것으로, 보안 실무자들은 플랫폼별 권한 격리 수준을 정확히 파악하고 대응해야 합니다.
해커뉴스 등 IT 커뮤니티에서는 패스키(Passkey) 도입 시 소비자 경험(CX)이 철저히 배제되었다는 비판이 제기되고 있습니다. 일반 사용자의 인지적 특성이나 환경을 고려하지 않은 복잡한 인증 절차는 오히려 UX를 저해하고 혼란을 가중시킨다는 것입니다. 이는 기술적으로 완벽한 솔루션이라도 사용자 관점이 결여되면 시장에서 실패할 수 있음을 시사합니다.
오픈AI는 최첨단 AI 모델에 대한 접근 권한을 가진 '사이버 신뢰 액세스(TAC)' 멤버들에게 피싱에 강력한 하드웨어 기반 패스키(보안 키) 로그인을 의무화했습니다. 이는 기존의 소프트웨어 기반 통제나 구형 다중 인증(MFA)의 취약점을 극복하고, 해킹 계정을 악용하는 범죄 생태계를 원천 차단하기 위한 조치입니다. 유비코(Yubico)와의 협력을 통해 오픈AI는 내부 인프라를 보호하는 수준의 최고 등급 보안 환경을 제공합니다.