유비코, YubiKey 5.8 출시…패스키를 하드웨어 기반 행위 승인으로 확장

유비코가 하드웨어 보안 키의 역할을 로그인 인증에서 디지털 작업 승인으로 넓힌 YubiKey 5.8을 출시했다. 유비코의 7월 21일 공식 발표에 따르면 새 펌웨어는 FIDO CTAP 2.3을 지원하고, WebAuthn 기반 서명 확장을 개발자 프리뷰로 제공한다.

기존 패스키가 서비스에 접속하는 사람의 신원을 확인하는 데 초점을 맞췄다면, 이번 업데이트는 사용자가 어떤 작업을 허용했는지 하드웨어로 증명하는 방향에 무게를 둔다. 문서 서명과 디지털 지갑, 결제 확인뿐 아니라 AI 에이전트가 운영 데이터베이스 변경처럼 영향이 큰 작업을 수행하기 전에 사람의 물리적 확인을 받는 흐름이 대표 사례다.

개발자는 WebAuthn 확장 패턴을 이용해 보안 키에 암호학적 서명을 요청할 수 있다. 별도의 서버형 하드웨어 보안 모듈이나 전용 공개키 인프라를 구축하지 않고도 중요한 행위에 하드웨어 기반 확인 절차를 붙이는 것이 목표다. 다만 서명 확장은 아직 개발자 프리뷰 단계다. 실제 적용에는 브라우저와 운영체제, 서비스 측 구현이 필요하며 현재 모든 환경에서 곧바로 쓸 수 있는 기능은 아니다.

개인정보 보호를 위한 비동기 원격 키 생성(ARKG) 확장도 프리뷰로 포함됐다. 서비스마다 서로 다른 공개키를 만들고도 서명의 유효성과 하드웨어 기원을 확인할 수 있게 해, 여러 검증자가 공개키를 결합해 사용자를 추적할 가능성을 낮추려는 방식이다. 유비코는 이를 디지털 신원 지갑과 검증 가능한 자격증명, 웹 결제 확인 같은 용도에 연결할 수 있다고 설명했다.

운영 편의 기능도 손봤다. 한 개의 보안 키가 최대 16개 신뢰 당사자 식별자(RP ID)에 대해 엔터프라이즈 증명을 지원해 개발·시험·운영 환경과 여러 신원 제공자를 함께 관리할 수 있다. 영구 PIN·사용자 검증 인증 토큰 기능은 기기에 저장된 자격증명을 앱에서 더 쉽게 찾아 선택하도록 돕고, 반복되는 PIN 입력을 줄이는 데 초점을 맞췄다.

CTAP 2.3은 이전 버전과 호환되는 점진적 개정판이다. 유비코 개발 문서에 따르면 이 규격은 하이브리드 전송의 블루투스 저전력 채널, 스마트카드 인터페이스 표기, FIDO 애플릿의 명시적 선택 등 프로토콜 세부 사항을 다듬었다. 플랫폼은 기능별 지원 여부를 확인한 뒤 사용해야 한다.

YubiKey 5.8은 YubiKey 5 시리즈와 Bio 시리즈, Security Key 시리즈에 적용돼 출하를 시작했다. FIPS 시리즈는 FIPS 140-3 검증을 유지하기 위해 펌웨어 5.7.4에 머물고, CCN 시리즈도 재인증이 끝날 때까지 같은 버전을 유지한다.

이번 출시는 AI 에이전트 보안의 초점이 계정 접근 통제에서 개별 행동의 승인으로 이동하고 있음을 보여준다. 에이전트가 더 많은 업무를 자율적으로 처리할수록 사람의 의사를 어떤 단계에서, 어떤 증거로 확인할지가 중요해진다. 다만 보안 키가 에이전트의 오작동을 자동으로 막는 것은 아니다. 조직이 고위험 작업을 구분하고 승인 정책과 감사 기록을 서비스에 연결해야 실제 통제 수단으로 작동한다.

출처: Yubico 공식 발표 https://www.yubico.com/press-releases/yubico-extends-passkeys-beyond-trusted-authentication-to-verified-authorization-with-launch-of-yubikey-5-8/
출처: Yubico YubiKey 5.8 공식 제품 안내 https://www.yubico.com/resource/whats-new-yubikey-5-8/
출처: Yubico 개발자 공식 블로그 https://www.yubico.com/blog/beyond-the-login-top-3-things-developers-need-to-know-about-yubikey-5-8/
출처: Yubico CTAP 2.3 개발 문서 https://developers.yubico.com/CTAP/CTAP2.3.html