패스키란 무엇이고 비밀번호와 뭐가 다른 걸까요
패스키는 비밀번호를 대체하는 로그인 방식이다. 외울 것도 입력할 것도 없이 지문이나 얼굴, 기기 잠금으로 로그인한다. 핵심 차이는 하나다. 서버에 비밀번호가 저장되지 않는다. 훔칠 것이 없으니 유출돼도 로그인에 쓸 수 없다.
목차
비밀번호와 뭐가 다른가?
어디에 무엇이 저장되느냐가 다르다. 이 차이가 나머지 특성을 전부 만든다.
| 항목 | 비밀번호 | 패스키 |
|---|---|---|
| 서버 보관 | 비밀번호(암호화) 저장 | 공개키만 저장 |
| 유출 시 | 그대로 로그인 가능 | 로그인 불가 |
| 피싱 | 속아서 입력하면 뚫린다 | 사이트가 다르면 작동 안 함 |
| 사용자 부담 | 외우고 입력 | 지문·얼굴·기기 잠금 |
두 번째 줄이 핵심이다. 서버가 해킹돼도 거기 있는 것은 자물쇠이지 열쇠가 아니다. 열쇠에 해당하는 개인키는 내 기기 안에만 있다.
세 번째도 크다. 패스키는 등록된 사이트 주소에서만 작동하므로, 가짜 사이트에 들어가면 애초에 나타나지 않는다. 사람이 속아도 기술이 막는다.
어떻게 작동하나?
한 쌍의 열쇠를 만들어 나눠 갖는 방식이다. 원리는 단순한데, 한쪽으로 잠그면 다른 쪽으로만 열리는 성질을 이용해 서로를 확인한다. 이름과 달리 열쇠를 주고받는 것이 아니다.
- 등록 시 열쇠 두 개 생성 — 공개키와 개인키
- 공개키는 서비스에 전달 — 서버에 보관된다
- 개인키는 내 기기에만 — 밖으로 나가지 않는다
- 로그인 시 기기가 서명 — 서버가 공개키로 확인
세 번째가 안전의 근거다. 개인키는 기기의 보안 영역에 저장되고 전송되지 않으므로 가로챌 방법이 없다.
네 번째에서 지문이나 얼굴이 쓰인다. 다만 생체정보가 서버로 가는 것은 아니다. 기기가 나를 확인하는 용도일 뿐이고, 서버에는 서명 결과만 간다.
비밀번호와 비교하면 관리 부담도 달라진다. 서비스 50곳을 쓴다면 비밀번호는 50개를 다르게 만들어 관리해야 하지만, 패스키는 기기 잠금 하나로 전부 열린다.
기기를 잃어버리면?
가장 많이 나오는 걱정이다. 답은 어디에 저장했느냐에 달렸다.
- 계정에 동기화된 패스키 — 새 기기에 로그인하면 함께 따라온다
- 기기에만 저장한 패스키 — 그 기기를 잃으면 사라진다
- 여러 기기에 등록 — 하나를 잃어도 다른 기기로 들어간다
- 복구 수단 유지 — 기존 비밀번호나 백업 코드
첫 번째가 대부분의 경우에 해당한다. 계정 기반 비밀번호 관리자나 플랫폼 계정에 저장되면 기기를 바꿔도 그대로 쓸 수 있다.
세 번째를 권한다. 휴대폰과 노트북 양쪽에 등록해두면 한쪽을 잃어도 막히지 않는다.
어디서 쓸 수 있나?
지원하는 서비스가 늘고 있지만 아직 전부는 아니다. 비밀번호와 병행하는 시기라, 어떤 곳은 패스키만으로 들어가고 어떤 곳은 여전히 비밀번호를 요구한다.
- 주요 플랫폼 계정 — 지원이 앞서 있다
- 일부 금융·쇼핑 서비스 — 도입이 진행 중
- 국내 서비스 — 서비스별로 편차가 크다
- 미지원 서비스 — 기존 방식 유지
당장 모든 곳을 바꿀 수는 없다. 지원하는 곳부터 하나씩 전환하는 것이 현실적이다.
설정 위치는 대체로 계정 보안 메뉴 안에 있다. "패스키" 또는 "비밀번호 없이 로그인" 같은 이름으로 표시된다.
무엇부터 바꾸나?
파급이 큰 계정부터 한다. 어디가 뚫리면 나머지가 함께 열리는지를 기준으로 삼으면, 적은 수고로 가장 큰 위험을 먼저 줄일 수 있다.
- 1순위 이메일 계정 — 다른 계정의 복구 창구
- 2순위 금융·결제 — 직접 손실이 생기는 곳
- 3순위 본인확인용 계정 — 여러 서비스에 연결된 것
- 4순위 나머지 — 지원하는 대로
첫 번째의 이유가 분명하다. 이메일이 뚫리면 다른 서비스의 비밀번호를 재설정해 들어갈 수 있으므로, 여기를 먼저 막는 것이 효율이 가장 높다.
전환한 뒤에도 기존 비밀번호는 대체로 남아 있다. 완전히 없애기 전에 패스키로 실제 로그인이 되는지 확인한다.
걸리는 시간은 계정당 2~3분 남짓이다. 우선순위 3개만 바꿔도 10분이 안 되고, 그것으로 위험의 상당 부분이 줄어든다.
한계는 없나?
만능은 아니다. 알아둘 제약이 있고, 특히 기기에 묶인 방식이라 기기를 쓸 수 없는 상황에서 어떻게 할지를 미리 정해둬야 한다.
- 지원 범위 — 아직 모든 서비스가 되지 않는다
- 기기 의존 — 등록된 기기가 있어야 한다
- 공용 PC — 남의 기기에서는 쓰기 번거롭다
- 기기 잠금이 곧 열쇠 — 잠금이 허술하면 의미가 줄어든다
네 번째가 실질적인 조건이다. 패스키는 기기 잠금으로 본인을 확인하므로, 잠금을 안 걸어둔 기기라면 보안 효과가 크게 떨어진다. 도입 전에 화면 잠금부터 확인한다.
세 번째는 우회 방법이 있다. 휴대폰을 인증 기기로 써서 다른 기기에서 로그인하는 방식이 지원되는 경우가 있다.
기존 계정 보안은 비밀번호 관리자와 2단계 인증 설정하는 순서 정리에 정리했고, 구글 계정 점검은 구글 계정 보안 점검에서 확인할 네 가지 항목에 있다.
유출 대응은 개인정보 유출 확인하고 대응하는 4단계 총정리에, 피싱 수법은 스팸 전화 문자 차단하는 방법과 신고 절차 정리에 정리했다.
기기를 바꿀 때는 휴대폰 기기변경 데이터 이전하는 4단계 순서표를 본다. 관련 안내는 KISA 보호나라에서 확인할 수 있다.
자주 묻는 질문
지문이 서버로 전송되나?
아니다. 생체정보는 기기 안에 머물고 서버에는 서명 결과만 전달된다.
기기를 잃으면 계정을 못 쓰나?
계정에 동기화된 패스키면 새 기기에서 그대로 쓸 수 있다. 여러 기기에 등록해두면 더 안전하다.
비밀번호를 없애야 하나?
당장은 병행하는 편이 낫다. 패스키로 실제 로그인이 되는지 확인한 뒤에 정리한다.
피싱에 정말 안 당하나?
패스키는 등록된 주소에서만 작동한다. 가짜 사이트에서는 나타나지 않는다.
공용 PC에서는 어떻게 하나?
휴대폰을 인증 기기로 써서 로그인하는 방식이 지원되는 경우가 있다.
정리
- 패스키는 서버에 비밀번호를 저장하지 않는 로그인 방식이다
- 열쇠 한 쌍 중 개인키는 내 기기에만 남는다
- 유출돼도 로그인에 쓸 수 없고 피싱에도 강하다
- 기기를 잃어도 계정 동기화되면 그대로 쓴다
- 이메일 계정부터 바꾸는 것이 효율이 높다
- 기기 잠금이 곧 열쇠이므로 잠금부터 확인한다
다음 행동은 이메일 계정의 보안 설정에서 패스키 항목이 있는지 찾아보는 것이다. 있으면 5분이면 등록된다.
글쓴이 션잇 · IT 전문가. 업무 자동화와 AI 도구를 다룬다
댓글