패스키는 함정이니 쓰지 마라는 주장: 웹사이트가 사용자의 패스키 통제권을 점차 빼앗을 수 있다고 경고함

KeePassXC 같은 비밀번호 관리자 쓰면 통제권은 내가 갖는 거 맞음. 근데 문제는 모든 사이트가 그걸 지원하지 않는다는 거임. 그러니까 패스키가 강제되기 시작하면 진짜 나쁜 거임.

글쓴이가 걱정하는 건 지금 패스키보다 attested passkey로 가는 징검다리라는 점임. 원격 증명으로 OS, TPM, 비밀번호 관리자가 같이 움직이면 사이트가 하드웨어에 묶인 패스키만 받게 할 수 있음. 나도 이건 충분히 걱정할 만하다고 봄.

패스키는 애완동물 말고 가축처럼 다뤄야 함. 계정마다 여러 개 만들어서 비밀번호 관리자 여러 곳에 넣어두면 복사가 안 돼도 괜찮음.

비밀번호 관리자를 여러 개 쓰는 사람이 실제로 있음? 개인용이랑 회사용 나누는 정도 아니면 현실성 없어 보임.

비밀번호는 기기 바꿔도 어디서든 칠 수 있는데, 패스키는 기기에 관리자 깔고 거기 접근 권한까지 줘야 함. TPM이나 블루투스나 폰이 안 되는 날엔 그냥 로그인이 막힘.

나는 Bitwarden에 패스키 넣고 쓰는데 TOTP 코드 치는 것보다 훨씬 편함. TOTP도 결국 앱이 숫자 만들어주는 거라 패스키도 같은 관리자에 넣으면 되지 않음?

Bitwarden에 안 들어가는 패스키 이미 봤음. 자기 PC의 TPM 저장소만 쓰라고 요구하더라. 지금은 흔하지 않은데 방향은 그쪽으로 가는 것 같음.

요즘 userVerification 요구하는 사이트가 많아져서 1Password에서도 데스크톱은 로그인 비밀번호를 직접 쳐야 하는 경우가 생김. 예전보다 확실히 불편해짐.

패스키는 랜덤 공개키랑 기능 비트 몇 개만 넘기는 거라서, 이메일이나 전화번호를 요구하는 비밀번호 로그인보다 개인정보가 덜 샌다고 봄.