본문 바로가기 주메뉴 바로가기 검색 바로가기
테크 업계, 패스워드 영구 제거 계획에 도박
상태바
테크 업계, 패스워드 영구 제거 계획에 도박
피도 얼라이언스는 10년간의 작업 이후 패스워드 제거를 위해 간과한 문제를 발견했다고 주장한다.
By LILY HAY NEWMAN, WIRED US

수년간 패스워드가 없는 미래가 멀지 않았다는 흥미로운 암시가 이어졌으나 지금까지 패스워드가 없는 디지털 자유가 가까워졌다고 느끼지 못할 수도 있다. 그러나 보안 인증 전문 작업 업계 협력 기관인 피도 얼라이언스(FIDO Alliance)가 10년 동안 패스워드 제거의 문제점을 연구한 끝에 문제를 해결하기 위해 놓친 부분을 발견했다고 생각한다.

3월 17일(현지 시각), 피도 얼라이언스는 패스워드 제거 기능에 큰 어려움을 준 활용성 문제 해결과 함께 대대적인 채택을 유지할 자체 전망을 자세히 설명하는 백서를 발간했다. 피도 얼라이언스에 가입한 기업은 백서 작성에 협력하고는 인텔과 퀄컴 등 칩 제조사와 아마존, 메타 등 유명 플랫폼 개발 기업, 아메리칸 익스프레스, 뱅크 오브 아메리카 등 금융 기관, 구글, 마이크로소프트, 애플 등 모든 주요 운영체제 개발 기업까지 여러 기업으로 협력사 확보 범위를 확장했다.

백서는 기술적인 내용이 아닌 개념적인 내용을 다루었으나 다년간 FIDO2 표준과 웹 인증(WebAuthn) 패스워드 제거 표준을 윈도, 안드로이드, iOS 등 다양한 운영체제에 통합하기 위해 투자한 뒤 모든 기업이 패스워드를 성공적으로 제거하기 위한 미래로 나아갈 다음 단계에 합류한다.

피도 얼라이언스 국장인 앤드류 쉬키아르(Andrew Shikiar)는 “피도 얼라이언스 성공의 핵심은 실제 활용성이다. 패스워드 제거를 기존 패스워드 만큼 보편적으로 사용할 수 있어야 한다. 패스워드는 웹 자체가 보유한 DNA의 일부분이며, 이를 패스워드가 없는 현실로 대체하고자 한다. 패스워드 사용 중단이 패스워드를 사용하는 것보다 더 수월해져야 한다”라고 말했다.

그러나 실질적으로 가장 간단한 패스워드 제거 계획도 존재하지 않는다. 부분적인 어려움이 되는 요소는 패스워드를 유지하려는 행동이 확고해졌다는 사실이다. 패스워드 사용과 관리가 어려워 많은 이들이 여러 계정에 같은 패스워드를 사용해, 매번 보안 문제가 발생하는 원인이 되었다. 하지만 결과적으로 한 가지 큰 문제가 있다. 소비자 대상 패스워드 제거 교육과 패스워드 제거를 향한 변화를 향한 불편함을 없애기 어렵다는 사실이다.

피도 얼라이언스는 단순히 사용자가 변화에 적용하는 것을 넘어 여전히 패스워드 제거 계획 달성을 위해 나아가는 데 어려움을 주는 핵심 요소를 찾고자 한다. 피도 얼라이언스는 패스워드 제거 계획의 어려움이 주로 기기 변경이나 추가에 달려있다는 사실을 확인했다. 만약, 패스워드 제거 후 새로 구매한 스마트폰에 계정을 설정하는 것이 매우 복잡하며, 모든 앱과 계정에 접속할 간단한 방법은 없다. 혹은 패스워드를 제거하고 개인 계정 소유 상태를 재구성하기도 어렵다. 그리고 대다수 사용자는 현재 패스워드를 사용하는 상황을 바꾸기 너무 어렵다고 판단한다.
 
“패스워드 사용 중단이 패스워드를 사용하는 것보다 더 수월해져야 한다.”
앤드류 쉬키아르

패스워드를 제거하는 피도 표준은 이미 기기의 생체 스캐너(혹은 사용자가 선택한 마스터 PIN)에 의존해 인터넷에서 신원 인증을 위한 웹 서버로 데이터를 옮기지 않고도 기기 내부에서 사용자 인증을 완료한다. 피도 얼라이언스가 신뢰하는 주된 개념은 새로운 기기의 문제 해결 방법은 빌트인 패스워드 매니저와 비슷한 ‘피도 신원 검증 관리자’를 운영체제에 구축하는 것이라고 말한다. 피도 신원 검증 관리자는 말 그대로 패스워드를 보관하는 대신 기기 간 동기화할 수 있는 암호화 키를 보관해 기기의 생체 인증이나 패스코드 잠금으로 보호한다.
 
[사진=Pixabay]
[사진=Pixabay]

2021년 여름 진행된 애플 세계 개발자 콘퍼런스(WDC)에서 애플은 피도의 계정 접근 개념을 자체 버전으로 발표했다. 이는 아이클라우드의 ‘아이클라우드 키체인 내 패스키(Passkeys in iCloud Keychain)’ 기능이라고 알려졌다. 애플은 아이클라우드 키체인 내 패스키를 패스워드 제거 후의 시대 기여 요소라고 말한다.

2021년 6월, 애플 앱 인증 경험팀의 엔지니어인 가렛 데이비슨(Garrett Davidson)은 WDC에 참석해, 모든 기기의 백업과 동기화, 작업 내용 활용성을 모두 결합했다고 밝혔다. 그는 “암호화 키를 아이클라우드 키체인에 보관한다. 아이클라우드 키체인의 모든 기능과 마찬가지로 최종 암호화 기능이 적용돼, 애플도 정보를 읽을 수 없다. 또한, 사용하기 매우 쉽다. 대다수 사례에서는 단 한 차례 클릭이나 로그인 만으로도 사용할 수 있다”라고 설명했다.

아이폰을 분실해 새 제품을 구매했다면, 애플이 제공하는 설정 작업 흐름이 무엇이든 새로운 기기로 계정 정보를 전송하는 과정이 원활하게 이루어진다. 아이폰 사용자가 안드로이드 스마트폰을 새로 구매하거나 다른 디지털 생태계로 변경한다면, 계정 정보 전송을 원활하게 진행하기 어렵다. 그러나 피도 얼라이언스의 백서는 또 다른 구성요소인 노트북 등 다른 기존 기기 한 가지를 하드웨어 토큰으로 지정하여 사용하도록 지원하는 사양을 추가한다. 독자형 블루투스 인증 동글과 비슷한 역할을 하며, 블루투스 연결을 통해 물리적 인증 과정을 제공한다. 블루투스가 근거리 기반 프로토콜이며, 백업 패스워드를 보관할 필요가 없는 진정한 별도의 패스워드 제거 버전이 필요한 유용한 수단이라는 점에서 가상 피싱 증명 역할을 한다.

신원과 보안 작업에 집중하며, 피도 프로젝트와 협력하는 구글 제품 관리자 크리스티안 브랜드(Christiaan Brand)는 패스키 형태 계획은 논리적으로 패스워드를 제거한 미래의 스마트폰이나 다양한 기기의 이미지를 따른다고 설명했다.

브랜드는 “피도 얼라이언스의 광범위한 전망은 패스워드 제거 조치를 넘어선다. 사실, 피도 얼라이언스는 패스워드 제거의 최종 상태를 염두에 두고 있으며, 패스워드 제거 실현은 모두가 스마트폰을 보유할 때까지 시간이 걸릴 것이다”라고 말했다. 구글은 2013년, 피도 얼라이언스 형성 후 몇 달이 지난 시점에 피도 얼라이언스에 합류했다. 브랜드는 “패스워드 제거가 사용자에게는 행동 변화 수준은 작지만, 기술 자체는 보안 향상을 위한 큰 도약이 되기를 바란다”라고 전했다.

피도 얼라이언스의 최우선순위는 피싱 피해를 과거의 일로 만들도록 계정 보안의 패러다임 변화를 가져오는 것이다. 해커 세력은 사용자를 속여 의도치 않게 패스워드 정보를 건네도록 유도하는 데 능숙하다. 심지어 이중 인증 코드나 명령 승인을 악용할 정도로 공격 수법이 더 교묘해졌다. 이와 같은 사기 수법은 수월한 범죄 자금 확보라는 결과로 이어질 수 있지만, 지정학적 문제와 세계적 사건을 형성하는 도청과 심각한 피해를 낳는 사이버 공격 개시 역할을 하기도 한다.

피도 얼라이언스가 완벽한 해결책을 발견했더라도 여러모로 패스워드 자체가 하루아침에 사라지기 어렵다. 가장 중요한 문제는 전 세계 모든 인구가 스마트폰을 보유하지 않았다는 점이다. 또, 한 가지 기기 분실이나 도난 발생 시 계정 정보를 보호할 여러 가지 백업 기기를 보유한 이의 수는 더 적다. 게다가 전 세계 모든 인구가 피도 얼라이언스의 패스워드 제거 전략 추진을 도울 새로운 기기와 운영체제에 접근하는 데 수년이 걸릴 전망이다. 반면, 테크 업계는 패스워드 제거 전략과 패스워드 기반 로그인 방식을 동시에 유지해야 할 것이다. 피도 얼라이언스는 자체 신규 백서와 다른 프로젝트에서 패스워드 제거 전환 작업을 진행 중이다. 하지만 다른 기술 이관(특히 윈도XP)을 함께 진행하면서 패스워드 이관 작업은 온갖 힘겨운 노력이 따를 수밖에 없을 것이다.

게다가 피도 얼라이언스는 패스워드의 주요 보안 개선 방안을 다방면으로 제안하지만, 효과적이지 않다. 패스워드 제거 계획 성공 여부는 각각의 운영체제 구축 사항의 보안에 달려있다. 이미 계정을 생성한 모든 웹사이트와 서비스에서 신뢰할 수 있는 인증 제도 채택 강요라는 악몽에 매우 익숙해졌을 것이다. 그러나 인증 강화만으로는 충분하지 않다. 피도 얼라이언스는 기존 사용자 인증보다 더 나으면서 합리적인 방법이 있다면, 전혀 다른 방안을 채택해 각종 약점과 실패 지점을 설정할 것이다. 피도 얼라이언스도 주목한 바와 같이 피도 얼라이언스의 패스워드 제거 인증 방안 주류 채택 계획의 의도는 일반 목적 해결책이며, 항상 가장 강력한 수준의 보안 요구사항에 부합하지는 않는다.

결국, 테크 업계는 피도 얼라이언스의 백서를 실제로 사용하기 쉬운 기능으로 변환해 사용자가 패스워드 제거를 신뢰하도록 전환해야 할 것이다.

존스홉킨스대학교 암호학자인 매튜 그린(Matthew Green) 박사는 “패스키와 같은 제도는 지금의 패스워드보다 보안 수준이 훌륭한 편이다. 그러나 일부 기기의 여러 기기간 전환을 위한 사용자 인터페이스 지원 수준이 매우 낮다면, 전반적으로 패스워드 제거 전략 사용이 불편해져 많은 사용자가 패스워드 제거 인증으로 전환하지 않을 것이다”라고 설명했다.

10여 년간의 노력 끝에 패스워드 보안을 원하는 이들은 현재 피도 얼라이언스의 패스워드 제거 계획이 실패할 확률이 높은 상태가 되기를 바란다. 피도 얼라이언스가 구상한 것과 같은 패스워드 제거 전략이 현실이 될 때, 결과적으로는 역효과가 될 확률을 묻자 브랜드는 진지하게 생각하면서도 조금도 망설이지 않고 “모든 인증 방식을 대거 통합해야 한다고 생각한다. 패스워드 제거 전략은 보안을 위해 오래 사용할 수 있어야 한다”라고 말했다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
A Big Bet to Kill the Password for Good
이 기사를 공유합니다
RECOMMENDED