Passkey 전달: 패스워드 없는 인증의 새로운 공격 표면
(unit42.paloaltonetworks.com)
구글의 패스워드리스 생태계인 패스키(Passkey)를 겨냥하여, 멀웨어를 통해 사용자의 개입 없이 계정을 탈취하고 개인키를 추출할 수 있는 새로운 공격 표면이 발견되어 보안 업계에 경종을 울리고 있습니다.
이 글의 핵심 포인트
- 1구글의 동기화된 패스키 생태계를 겨냥한 세 가지 새로운 공격 유형('Pass-ta-key' 시리즈) 발견
- 2'Pass-ta-key' 공격은 멀웨어를 통해 사용자 개입이나 기기 잠금 해제 없이 계정 탈취 가능
- 3'Silver Pass-ta-key' 공격은 생체 인증을 우회하여 클라우드 인증기를 속이고 계정을 탈취함
- 4'Golden Pass-ta-key' 공격은 동기화된 패스키 개인키를 추출하여 블랙마켓에서 거래할 수 있는 형태로 유출
- 5패스워드리스 기술이 피싱에는 강하지만, 클라우드 동기화 및 기기 신뢰 프로세스라는 새로운 공격 표면을 생성함
이 글에 대한 공공지능 분석
왜 중요한가?
기존의 피싱과 비밀번호 탈취 공격이 줄어드는 대신, 패스워드리스 기술의 구조적 허점인 '동기화'와 '신뢰 메커니즘'을 노리는 새로운 공격 클래스가 등장했기 때문입니다. 이는 보안의 중심축이 인증 수단 자체에서 인증 프로세스의 무결성으로 이동하고 있음을 의미합니다.
어떤 배경과 맥락이 있나?
패스키는 사용자 편의를 위해 클라우드 기반 동기화와 기기 간 신뢰 검증을 활용합니다. 이번 연구는 공격자가 멀웨어를 통해 이 동기화 및 복구 워크플로우를 악용하여, 하드웨어 기반 보호 기능이 적용된 환경에서도 인증 과정을 조작할 수 있음을 입증했습니다.
업계에 어떤 영향을 주나?
인증 기술을 도입하려는 핀테크 및 보안 스타트업은 패스키 도입만으로 보안이 완성되었다는 안일한 생각에서 벗어나야 합니다. 클라우드 동기화와 기기 인증 프로세스 전반에 걸친 엔드포인트 보안 및 제로 트러스트 아키텍처 설계가 필수적인 과제로 부상했습니다.
한국 시장에 어떤 시사점이 있나?
모바일 결제와 생체 인증 의존도가 높은 한국의 금융·IT 서비스 환경에서, 패스키 도입은 가속화될 전망입니다. 따라서 기기 탈취나 멀웨어 침투 시에도 인증 프로세스의 무결성을 유지할 수 있는 '디바이스 상태 검증(Device Attestation)' 기술 확보가 기업의 핵심 경쟁력이 될 것입니다.
이 글에 대한 큐레이터 의견
패스워드리스 인증의 확산은 사용자 경험(UX)을 혁신적으로 개선하지만, 보안 설계자들에게는 더 복잡한 공격 표면을 관리해야 하는 과제를 던져줍니다. 이번 연구는 공격자들이 '비밀번호'라는 전통적인 성벽이 무너지자, '동기화된 신뢰'라는 새로운 통로를 찾아냈음을 보여줍니다. 스타트업 창업자들은 인증 기술의 도입이 곧 보안 완성이라는 착각에서 벗어나, 인증 프로세스 전반에 걸친 엔드투엔드(End-to-end) 보안 전략을 고민해야 합니다.
물론 이번 공격은 멀웨어가 이미 침투한 '오염된 엔드포인트'를 전제로 한다는 한계가 있습니다. 즉, 패스키 기술 자체의 결함이라기보다는 구현 및 운영 환경의 취약점을 이용한 것입니다. 따라서 기업은 패스키 도입을 통한 편의성 증대와 함께, 기기의 무결성을 지속적으로 모니터링하고 인증 프로세스의 조작을 방지할 수 있는 제로 트러스트 모델을 병행 구축하는 균형 잡힌 접근이 필요합니다.
댓글
아직 댓글이 없습니다. 첫 댓글을 남겨보세요.