저도 비슷한 고민을 했고, 결론은 암호가 파일화 되어 저장되고 손전화기가 나를 인증하는 도구가 되고 있다는 것이었습니다. 저는 아이폰을 쓰고 있는데 구글 패스키를 생성해서 저장하면 아이클라우드를 통해 공유 됩니다. (별개의 비즈니스 폰에서도 쉽게 인증할 수 있습니다. 그리고 이 말은 primary 손전화가 뚫리면 답이 없다는 거겠죠. WSJ에서 아이클라우드 어카운트를 통째로 잃어버리는 아이폰 보안 문제를 유튜브에서 다루기도 했습니다. 그러니까 패스키를 쓴다는 건 손전화기 자체를 내 인증도구로 쓰겠다는 말과 크게 다르지 않은 것 같습니다.)

저는 업무 워크플로우가 애플 계열이라 이렇게 해도 충분하긴 하지만(아무리 가족이라고 해도 휴대폰을 공유하는 일은 없으니깐요) 애플 아이클라우드를 완전히 신뢰하지 못하여, 1Password를 구독하고 별도의 패스키를 생성하여 이중 저장하고 있습니다.

1Password는 가족 플랜도 있고 또 다른 컴퓨터에서도 접근이 가능한 만큼 고민하시는 부분의 일정 부분 해결책이 되지 않나 싶습니다.

그리고 가끔 안드로이드를 써야 할 일이 있는데 아직까지는 다른 기기를 통해 2FA 인증이 가능했습니다.  그리고, 아이폰의 경우 최근 OS 업데이트로 집과 같은 장소면 즉시 보안 설정이 바뀌도록 하고, 아니면 딜레이를 주도록 하는 방식이 추가되었습니다. 이걸 모든 장소로 변경할 수도 있구요. 하나의 보안 대비책이라고 생각합니다.

1-1. 구글 로그인의 경우, 패스키가 생성된 기기가 없을 시 패스워드를 사용해서 로그인 합니다. 구글(마소나 애플도 마찬가지)은 패스키 서비스 제공자(구글 패스워드 매니저에 각 서비스의 패스키를 저장)이자 또한 패스키 인증 지원자(패스키로 구글 계정 로그인 지원)이기 때문에 약간 헷갈릴 수 있는데요. 패스키를 관리해야 되는 계정이 패스키로만 로그인 가능다면 말씀하신 것처럼 패스키 기기가 없는 상황에서는 구글뿐만 아니라 모든 저장된 패스키 지원 서비스에 로그인이 불가능해지는 불편함이 생깁니다. 그렇기 때문에 다른 로그인 메소드를 동시 지원할 수 밖에 없겠고, 여러가지 방법이 있겠지만 기존 패스워드가 그 중 하나입니다. 패스키 인증 지원자(패스키 로그인을 지원하는 각종 서비스)들은 리버커리 메커니즘이 패스키 스펙에 표준화되어 있진 않아서 각자 다양한 방법으로 지원하는 걸로 알고 있습니다(예전엔 그랬는데 지금은 바뀌었는지 확인해 보지 않았습니다).

1-2. 이미 패스워드가 유출되면 패스키의 유무가 보안 레벨에 영향을 주는 건 아니지만, 그렇다고 패스키가 무력화 되는 건 아닙니다. 어쨌든 패스키 자체는 물리적으로 패스키 기기가 있어야 사용할 수 있고, 2FA를 뚫고 로그인을 했다고 해서 기존에 생성해둔 패스키들을 복사해갈 수 있는 건 아닙니다. 로그인이 되면 공격자가 클라우드 동기화로 새로운 기기에 패스키를 복원하면 어떡하냐고 불안해 할 수 있지만, 기존 패스키 기기의 스크린 언락을 재현할 수 있어야 복원이 가능하기 때문에 공격자가 패스워드와 더불어 지문, 얼굴, 또는 언락 패턴을 알고 있지 않는 한 불가능합니다. 대신 구글 로그인을 패스키로 하신다면 패스워드를 쓸 일이 현저히 줄어들므로 패스워드 자체를 훨씬 복잡하고 길게 설정해두면 뚫릴 위험 역시 크게 줄어들 거예요.

2. 가족 공유의 경우엔 프로애남이님 제안처럼 패스워드 매니저를 사용하는 게 더 쉽고 안전해 보입니다. 가족들 기기에 패스키를 생성해두려면, 각 기기마다 지금 당장은 불필요한 구글 계정 로그인 및 패스키 생성을 해야 하니까요. 패스워드 매니저의 공유 벌트에 패스키를 저장해두는 편이 가장 관리가 쉽지 않을까 싶네요.