New Pass-ta-key 공격, 우리가 몰랐던 모든 것을 드러내다

(arstechnica.com)

Ars Technica2026년 8월 11일AI 코딩

패스키의 보안 신뢰도를 위협하는 'Pass-ta-key' 공격이 공개되었는데, 이는 패스키가 하드웨어(TPM)에만 저장된다는 믿음과 달리 윈도우 환경에서는 멀웨어를 통해 탈취될 수 있음을 보여주며 인증 보안의 새로운 과제를 제시합니다.

이 글의 핵심 포인트

1'Pass-ta-key' 공격은 윈도우 환경의 구글 비밀번호 관리자(GPM) 내 패스키 탈취 가능성을 입증함
2FIDO 2 표준은 패스키를 반드시 TPM과 같은 하드웨어 보안 영역에 저장하도록 강제하지 않음
3기기 간 패스키 동기화를 위해 많은 플랫폼이 로컬 저장 또는 클라우드 기반 방식을 사용함
4macOS, iOS, Android와 달리 윈도우는 앱 간 데이터 격리(Sandboxing)가 상대적으로 취약함
5보안을 강화하기 위해 1Password 등 일부 서비스는 패스키를 종단간 암호화된 클라우드 블롭 형태로 저장함

이 글에 대한 공공지능 분석

왜 중요한가?

패스키가 기존 비밀번호보다 안전하다는 대중적 신뢰의 근간을 흔들 수 있는 발견이기 때문입니다. 특히 하드웨어 기반 보안(TPM)에 대한 맹신이 실제 구현 방식과 다를 수 있음을 경고합니다.

어떤 배경과 맥락이 있나?

사용 편의성을 위한 기기 간 패스키 동기화 요구로 인해, 많은 플랫폼이 보안성이 높은 TPM 저장 대신 로컬 저장이나 클라우드 기반 암호화 방식을 채택하게 되었습니다. 이는 기술적 보안성과 사용자 경험(UX) 사이의 타협점입니다.

업계에 어떤 영향을 주나?

인증 솔루션을 개발하는 기업들은 윈도우와 같은 특정 OS 환경에서의 데이터 격리(Sandboxing) 한계를 인지해야 합니다. 따라서 클라우드 기반 종단간 암호화(E2EE)나 추가적인 서버 측 검증 로키를 설계에 반영하는 것이 중요해졌습니다.

한국 시장에 어떤 시사점이 있나?

보안이 핵심인 핀테크 및 인증 관련 스타트업은 단순한 기술 도입을 넘어, OS별 보안 아키텍처의 차이를 이해하고 멀웨어 공격에 대비한 다층적 방어 전략을 구축해야 합니다.

이 글에 대한 큐레이터 의견

패스키는 '비밀번호 없는 미래'를 위한 혁신적인 도구이지만, 이번 Pass-ta-key 공격 사례는 기술의 편리함과 보안성 사이의 피할 수 없는 트레이드오프를 극명하게 보여줍니다. 개발자들은 사용자 경험(UX)을 위해 필수적인 '기기 간 동기화' 기능이 역설적으로 공격 표면(Attack Surface)을 넓히는 원인이 될 수 있음을 명심해야 합니다.

물론, 이러한 취약점이 패스키 자체의 결함이라기보다는 윈도우 OS의 권한 관리 구조와 구현 방식의 문제라는 점은 주목할 만합니다. 하지만 보안 솔루션을 구축하는 창업자라면, 기술적 완결성만 믿기보다 '신뢰할 수 없는 환경(Untrusted Environment)'에서의 데이터 노출 가능성을 상정하고, 클라우드 기반 종단간 암호화와 같은 보완책을 설계 단계부터 반영하는 리스크 관리 역량이 필수적입니다.

원문 보기 →