인터넷 서비스를 이용할 때마다 반복되는 것이 있습니다. 바로 아이디와 비밀번호 입력입니다. 보안을 위해 사이트마다 다른 비밀번호를 사용하라고 하지만, 서비스가 많아질수록 모든 비밀번호를 기억하기는 쉽지 않습니다.
그래서 비밀번호 관리 프로그램을 사용하거나 문자·인증 앱을 이용한 2단계 인증을 추가하기도 합니다. 하지만 최근에는 아예 비밀번호를 입력하지 않고 로그인하는 ‘패스키(Passkey)’ 방식이 빠르게 확산되고 있습니다.
패스키는 단순히 비밀번호를 자동으로 입력해 주는 기능이 아닙니다. 기존 비밀번호와는 로그인하는 원리 자체가 다릅니다.
그렇다면 패스키란 무엇이고, 어떻게 비밀번호 없이도 안전하게 로그인할 수 있는 걸까요?
패스키란?
패스키(Passkey)는 비밀번호 대신 스마트폰이나 컴퓨터에 저장된 인증 정보를 이용해 로그인하는 방식입니다.
사용자는 복잡한 비밀번호를 외울 필요 없이 스마트폰의 지문, 얼굴 인식, PIN, 화면 잠금 등을 이용해 본인임을 확인할 수 있습니다.
예를 들어 어떤 사이트에서 패스키를 등록했다면 다음에 로그인할 때 비밀번호를 입력하는 대신,
로그인 → 패스키 선택 → 지문 또는 얼굴 인식 → 로그인 완료
와 같은 방식으로 이용할 수 있습니다.
겉으로 보면 스마트폰의 생체인증으로 로그인하는 것처럼 보이지만, 실제 내부에서는 공개키 암호화 기술이 중요한 역할을 합니다.
패스키의 핵심 원리는 ‘두 개의 키’
패스키를 이해하려면 먼저 공개키(Public Key)와 개인키(Private Key)라는 개념을 알아두면 좋습니다.
패스키를 등록하면 서로 연결된 두 개의 암호화 키가 만들어집니다.
- 공개키 : 로그인하려는 서비스의 서버에 등록됩니다.
- 개인키 : 사용자의 스마트폰이나 컴퓨터 등 안전한 환경에 보관됩니다.
여기서 중요한 점은 개인키가 서비스 서버에 비밀번호처럼 저장되지 않는다는 것입니다.
로그인을 시도하면 서버가 사용자의 기기로 인증 요청을 보내고, 기기에 보관된 개인키가 해당 요청에 전자서명을 생성합니다. 서버는 자신이 가지고 있는 공개키를 이용해 그 서명이 올바른지 확인합니다.
확인에 성공하면 사용자가 올바른 인증 정보를 가지고 있다고 판단해 로그인을 허용하는 방식입니다.
쉽게 표현하면 다음과 같습니다.
서버의 질문 → 내 기기의 개인키로 증명 → 서버의 공개키로 확인 → 로그인 성공
즉, 실제 비밀번호를 서버와 주고받지 않아도 본인임을 증명할 수 있습니다.
지문이나 얼굴 정보가 서버로 전송되는 걸까?
패스키를 처음 접하면 한 가지 걱정이 생길 수 있습니다.
“내 지문이나 얼굴 정보가 인터넷 서비스 회사로 전송되는 것은 아닐까?”
일반적인 패스키 인증에서 지문이나 얼굴 인식은 기기에 저장된 패스키를 사용할 수 있도록 사용자를 확인하는 과정입니다.
예를 들어 스마트폰에서 얼굴 인식에 성공했다고 해서 얼굴 사진이나 생체정보 자체가 로그인하려는 사이트로 전달되는 것은 아닙니다.
기기가 사용자를 확인하면 저장된 개인키를 이용해 인증 절차를 진행합니다.
따라서 생체인증은 사용자를 확인하는 수단이고, 실제 온라인 인증의 핵심은 공개키와 개인키를 이용한 암호화 기술이라고 이해하면 쉽습니다.
기존 비밀번호와 패스키의 차이
기존 비밀번호 방식에서는 사용자가 알고 있는 문자열을 입력합니다.
예를 들어 비밀번호가 ABCD1234!라면 사용자는 이 정보를 기억하고 있어야 합니다. 서비스 역시 사용자의 입력값이 올바른지 확인할 수 있는 인증 데이터를 관리해야 합니다.
이 때문에 비밀번호가 너무 단순하거나 여러 사이트에서 같은 비밀번호를 사용하면 보안 위험이 커질 수 있습니다.
반면 패스키에서는 사람이 기억해야 할 비밀번호가 없습니다.
사용자의 기기가 안전하게 보관하는 개인키를 이용해 본인임을 증명하기 때문입니다.
| 구분 | 기존 비밀번호 | 패스키 |
|---|---|---|
| 로그인 방법 | 문자 비밀번호 입력 | 지문·얼굴·PIN 등으로 승인 |
| 암기 필요 | 있음 | 거의 없음 |
| 서버에 비밀번호 저장 | 인증용 비밀번호 정보 관리 | 공개키를 등록 |
| 피싱 위험 | 상대적으로 높음 | 상대적으로 낮음 |
| 사용 편의성 | 비밀번호 입력 필요 | 간편한 기기 인증 |
| 핵심 기술 | 비밀번호 검증 | 공개키 암호화 |
특히 패스키가 주목받는 이유 가운데 하나가 피싱 공격에 강하다는 점입니다.
패스키가 피싱에 강한 이유
피싱 사이트는 실제 사이트와 비슷한 가짜 로그인 화면을 만들어 사용자가 직접 아이디와 비밀번호를 입력하도록 유도합니다.
사용자가 속아서 비밀번호를 입력하면 공격자는 해당 정보를 훔쳐 실제 사이트에서 로그인을 시도할 수 있습니다.
패스키는 방식이 다릅니다.
패스키는 일반적으로 등록된 웹사이트나 서비스와 연결되어 작동하도록 설계되어 있기 때문에 사용자가 비슷하게 생긴 가짜 사이트에 접속했다고 해서 원래 사이트의 패스키를 그대로 넘겨주는 방식이 아닙니다.
무엇보다 사용자가 입력해서 공격자에게 전달할 비밀번호 자체가 없다는 것이 큰 차이입니다.
이러한 특성 때문에 패스키는 비밀번호 기반 로그인보다 피싱 공격에 대응하기 유리한 기술로 평가받고 있습니다.
휴대폰을 잃어버리면 패스키도 사라질까?
패스키를 사용하면서 가장 궁금할 수 있는 부분입니다.
“스마트폰을 잃어버리면 로그인도 못 하는 것 아닐까?”
패스키는 운영체제와 서비스 환경에 따라 여러 기기에서 사용할 수 있도록 동기화 기능을 지원할 수 있습니다.
예를 들어 같은 계정으로 연결된 스마트폰이나 컴퓨터 등에서 패스키를 사용할 수 있는 환경이 마련되어 있다면 새 기기에서도 계정 복구 및 본인 확인 절차를 거쳐 다시 사용할 수 있습니다.
또한 서비스에 따라 다른 기기의 패스키나 별도의 계정 복구 방법을 제공하기도 합니다.
다만 패스키를 사용한다고 해서 계정 복구에 대한 대비가 필요 없는 것은 아닙니다.
중요한 계정이라면 복구 이메일, 전화번호, 추가 인증 수단 등 해당 서비스가 제공하는 계정 복구 방법을 미리 확인해 두는 것이 좋습니다.
패스키와 자동 비밀번호 저장은 다르다
브라우저에서 비밀번호를 저장해 놓으면 로그인할 때 자동으로 아이디와 비밀번호가 입력됩니다.
이 때문에 패스키도 비밀번호 자동 입력 기능이라고 생각하기 쉽습니다.
하지만 두 기능은 완전히 다릅니다.
비밀번호 자동 저장은 기존 비밀번호를 보관했다가 대신 입력하는 방식입니다.
반면 패스키는 처음부터 비밀번호를 입력하지 않고 공개키와 개인키를 이용해 인증하는 방식입니다.
즉,
비밀번호 자동완성 = 비밀번호는 존재함
패스키 = 비밀번호 자체를 로그인 과정에서 사용하지 않음
이라는 차이가 있습니다.
패스키는 어디에서 사용할 수 있을까?
최근에는 스마트폰과 컴퓨터 운영체제, 브라우저, 온라인 서비스에서 패스키 지원이 확대되고 있습니다.
대표적으로 구글, 애플, 마이크로소프트 등을 중심으로 패스키 생태계가 확대되어 왔으며 다양한 웹사이트와 앱에서도 패스키 로그인을 지원하고 있습니다.
다만 모든 서비스에서 사용할 수 있는 것은 아닙니다.
서비스에 따라 여전히 기존 비밀번호만 지원하거나 비밀번호와 패스키를 함께 제공하는 경우도 있습니다.
따라서 패스키를 사용하려면 해당 서비스의 로그인 또는 보안 설정에서 ‘패스키’, ‘Passkey’, ‘비밀번호 없이 로그인’ 등의 항목을 확인하는 것이 좋습니다.
패스키의 장점은 무엇일까?
패스키가 차세대 로그인 기술로 주목받는 이유는 보안뿐만 아니라 편리함에도 있습니다.
가장 큰 장점은 복잡한 비밀번호를 만들고 기억해야 하는 부담이 줄어든다는 것입니다.
사이트마다 비밀번호를 다르게 설정할 필요도 줄어들고, 긴 비밀번호를 직접 입력하는 번거로움도 줄일 수 있습니다.
또한 서버에서 비밀번호 자체를 이용해 인증하는 기존 구조와 다르기 때문에 서버에서 인증 정보가 유출되는 상황에서도 공격자가 공개키만 가지고 사용자의 개인키를 알아내 로그인하는 것은 어렵습니다.
정리하면 패스키의 주요 장점은 다음과 같습니다.
- 복잡한 비밀번호를 외울 필요가 적다.
- 지문이나 얼굴 인식 등으로 빠르게 로그인할 수 있다.
- 가짜 로그인 페이지를 이용한 피싱 공격에 강하다.
- 여러 사이트에서 같은 비밀번호를 사용하는 문제를 줄일 수 있다.
- 서버에 실제 로그인 비밀번호를 보관하는 기존 방식의 위험을 줄일 수 있다.
그렇다면 비밀번호는 완전히 사라질까?
패스키가 빠르게 확산되고 있지만 당장 모든 비밀번호가 사라지는 것은 아닙니다.
기존 서비스에는 이미 수많은 비밀번호 기반 계정이 존재하고 있고, 모든 기기와 서비스가 동일한 방식으로 패스키를 지원하는 것도 아니기 때문입니다.
따라서 당분간은 비밀번호와 패스키가 함께 사용되는 과도기가 이어질 가능성이 높습니다.
하지만 로그인 방식의 방향은 점차 바뀌고 있습니다.
과거에는 사용자가 ‘무엇을 알고 있는가’, 즉 비밀번호를 확인했다면 패스키는 사용자가 ‘올바른 암호화 키를 가지고 있는가’를 확인하는 방식에 가깝습니다.
마무리
패스키는 단순히 비밀번호 입력을 편하게 만들어주는 기능이 아닙니다.
공개키와 개인키를 이용해 비밀번호 없이 사용자를 인증하는 새로운 로그인 방식입니다.
사용자는 지문이나 얼굴 인식, PIN 등 익숙한 방법으로 본인임을 확인하고, 실제 로그인 과정에서는 기기에 안전하게 보관된 개인키와 서버에 등록된 공개키가 서로 인증을 진행합니다.
그래서 사용자가 복잡한 비밀번호를 외울 필요가 줄어들고, 비밀번호 탈취나 피싱과 같은 기존 로그인 방식의 문제도 상당 부분 줄일 수 있습니다.
앞으로 패스키를 지원하는 서비스가 더욱 많아진다면 우리가 매일 입력하던 ‘아이디 + 비밀번호’ 로그인 방식 자체가 점차 달라질 가능성이 있습니다.
비밀번호를 더 복잡하게 만드는 시대에서, 이제는 비밀번호를 사용하지 않는 시대로 로그인 기술이 이동하고 있는 것입니다.
자주 묻는 질문
Q. 패스키를 사용하면 비밀번호가 필요 없나요?
패스키 로그인을 지원하는 환경에서는 비밀번호를 직접 입력하지 않고 로그인할 수 있습니다. 다만 서비스에 따라 계정 복구나 다른 로그인 방법으로 비밀번호를 유지하는 경우도 있습니다.
Q. 패스키와 지문인식은 같은 건가요?
같지 않습니다. 지문이나 얼굴 인식은 기기에서 사용자를 확인하는 방법이고, 패스키의 온라인 인증에는 공개키 암호화 기술이 사용됩니다.
Q. 패스키는 해킹되지 않나요?
어떤 보안 기술도 모든 위험을 없앨 수는 없습니다. 다만 패스키는 비밀번호를 직접 입력하거나 서버와 공유하는 기존 방식의 여러 위험, 특히 피싱과 비밀번호 재사용 문제를 크게 줄이도록 설계되었습니다.
Q. 스마트폰을 바꾸면 어떻게 하나요?
사용하는 운영체제와 서비스에 따라 패스키가 계정을 통해 동기화되거나 다른 기기 및 계정 복구 절차를 이용할 수 있습니다. 중요한 계정은 패스키를 등록할 때 복구 방법도 함께 확인하는 것이 좋습니다.