하드웨어 인증장치는 개인키 추출에 의도적으로 저항하도록 설계되지만, 교체·재해 복구·통제된 마이그레이션을 위해서는 이식성이 필요하다. 기존 방식은 장애 전에 별도 인증장치를 추가 등록하는 방식으로 복구 위험을 줄였지만, 이는 원본 자격증명의 백업이 아니라 독립적인 새 등록이며 사전에 교체용 하드웨어가 있어야 한다는 한계가 있다. 이 논문은 원본이 살아있을 때 보호된 자격증명 상태를 내보내고 이후 확보한 하드웨어로 가져오는 Vaulted Passkeys 아키텍처를 제안한다. 무작위 256비트 Kvault가 HKDF로 분리된 키와 4개의 명시적 AEAD 프로필을 통해 인증된 PKV1 자격증명 봉투를 보호하며, 프로토타입으로 실현 가능성을 입증했으나 공식 보안 증명이나 최종 표준안은 아니다.

• •장치 바운드 자격증명을 평문 노출 없이 내보내고 가져오는 Vaulted Passkeys 아키텍처 제안.
• •256비트 Kvault와 HKDF 분리 키, 4개 AEAD 프로필로 PKV1 자격증명 봉투를 보호.
• •기존 '추가 등록' 방식과 달리 원본 자격증명의 실제 백업/복원을 지원.
• •역할 분리 시스템 모델, 위협 분석, 프로토타입 구현으로 실현 가능성만 입증(공식 증명 아님).