요즘 로그인하려고 하면 “패스키를 만들겠습니까?”라는 안내가 자주 보입니다.
처음 보면 새로운 비밀번호를 하나 더 만들어야 하는 것처럼 느껴질 수 있습니다.
하지만 실제로는 반대에 가깝습니다.
패스키는 비밀번호를 직접 입력하지 않고 내 휴대폰이나 컴퓨터의 잠금 기능을 이용해 로그인하는 방식입니다.
지문이나 얼굴 인식, PIN처럼 평소 기기를 열 때 사용하는 방법으로 본인임을 확인하고 로그인하는 구조라고 생각하면 쉽습니다.
가장 쉽게 말하면
비밀번호 문자열을 외우는 대신 내 기기에 저장된 로그인용 열쇠를 화면 잠금으로 사용하는 방식입니다.
패스키는 새로운 비밀번호가 아닙니다
비밀번호는 사용자가 직접 기억하고 입력하는 문자열입니다.
영문 대문자와 소문자, 숫자, 특수문자를 섞어 만드는 경우가 많습니다.
문제는 비밀번호가 많아질수록 기억하기 어렵다는 점입니다.
사이트마다 다른 비밀번호를 쓰는 것이 좋다는 걸 알아도 실제로는 같은 비밀번호를 여러 곳에서 쓰게 되는 경우가 생깁니다.
패스키는 이런 방식과 다릅니다.
사용자가 외울 비밀 문자열이 없습니다.
내 기기나 패스키 관리자에 저장된 암호화 정보를 이용하고, 사용자는 화면 잠금을 풀어 본인이라는 사실만 확인하면 됩니다.
집 열쇠에 비유하면 훨씬 쉽습니다
비밀번호는 현관문 앞에서 긴 암호를 매번 말하는 것과 비슷합니다.
암호를 잊어버릴 수도 있고, 누군가 옆에서 훔쳐볼 수도 있습니다.
가짜 현관문을 진짜라고 착각하고 암호를 알려주는 일도 생길 수 있습니다.
패스키는 조금 다릅니다.
내가 가진 전자 열쇠가 있고, 지문이나 얼굴, PIN 등으로 본인 확인을 해야 그 열쇠를 쓸 수 있는 방식에 가깝습니다.
사용자는 열쇠 속 값을 직접 볼 필요도, 외울 필요도 없습니다.
패스키는 실제로 어떻게 로그인할까요?
패스키에는 서로 짝을 이루는 공개 키와 개인 키가 사용됩니다.
공개 키는 로그인하려는 사이트나 서비스에 등록됩니다.
개인 키는 사용자의 기기나 패스키 관리자에 보관됩니다.
로그인할 때 개인 키 자체가 사이트로 전송되는 것은 아닙니다.
기기 안에서 로그인 요청에 맞는 암호학적 응답을 만들고, 서비스는 등록된 공개 키를 이용해 그 응답이 맞는지 확인합니다.
쉽게 말하면 사이트가 “진짜 열쇠를 가진 사람인지” 확인하는 것이지, 열쇠 자체를 달라고 하는 구조는 아닙니다.
비밀번호보다 편한 이유
비밀번호를 쓰다 보면 이런 일이 자주 생깁니다.
“대문자를 넣었나?”
“특수문자가 뭐였지?”
“이 사이트는 지난달에 비밀번호를 바꿨던가?”
패스키는 긴 문자열을 직접 입력할 필요가 없습니다.
휴대폰 잠금을 풀듯 지문이나 얼굴 인식, PIN으로 본인 확인을 하면 됩니다.
그래서 비밀번호를 외우는 부담을 줄일 수 있습니다.
패스키가 피싱에 강하다는 말은 무슨 뜻일까요?
비밀번호를 사용하는 경우 가짜 로그인 사이트에 속아서 비밀번호를 직접 입력할 수 있습니다.
공격자는 그 문자열을 알아낸 뒤 다른 곳에서 사용할 수 있습니다.
패스키는 사용자가 직접 입력할 비밀 문자열이 없습니다.
또 패스키는 만들어진 사이트와 연결되어 사용되도록 설계되어 있습니다.
그래서 진짜 사이트와 비슷하게 꾸민 가짜 사이트에서 같은 자격 증명을 입력하도록 유도하는 전통적인 피싱 공격에 강합니다.
같은 패스키를 여러 사이트에서 반복해서 쓰는 것도 아닙니다
비밀번호의 큰 문제 중 하나는 재사용입니다.
같은 비밀번호를 여러 사이트에서 사용하다가 한 곳에서 유출되면 다른 계정까지 위험해질 수 있습니다.
패스키는 서비스마다 고유한 자격 증명이 만들어집니다.
그래서 하나의 값을 여러 사이트에 똑같이 입력하는 구조가 아닙니다.
지문이나 얼굴 정보가 사이트로 전송될까요?
이 부분을 가장 걱정하는 분들도 많습니다.
지문이나 얼굴 인식 정보는 기기에서 사용자를 확인하는 데 사용됩니다.
사이트가 내 지문 이미지나 얼굴 정보를 직접 받는 방식이 아닙니다.
기기 안에서 본인 확인을 마친 뒤 패스키를 이용한 로그인 절차가 진행됩니다.
그래서 “지문으로 로그인하면 지문 정보가 사이트에 저장되는 것 아닐까?”라고 바로 생각할 필요는 없습니다.
지문이 없어도 패스키를 사용할 수 있습니다
패스키라고 하면 꼭 지문이나 얼굴 인식이 필요하다고 생각하기 쉽습니다.
하지만 핵심은 생체 인식 자체가 아니라 기기에서 사용자를 확인하는 것입니다.
기기에 따라 PIN이나 다른 화면 잠금 방법을 이용할 수도 있습니다.
즉 패스키는 단순한 “지문 로그인”이 아니라, 기기가 주인을 확인한 뒤 저장된 로그인 자격 증명을 사용하는 방식이라고 보는 편이 정확합니다.
패스키는 특정 회사만 쓰는 기술일까요?
패스키는 특정 스마트폰 회사 하나만 사용하는 기술이 아닙니다.
여러 플랫폼에서 공통으로 사용할 수 있도록 만들어진 표준을 기반으로 합니다.
그래서 안드로이드에서만 쓰거나 아이폰에서만 쓰는 개념은 아닙니다.
다만 패스키가 어디에 저장되는지, 어떻게 동기화되는지는 사용하는 운영체제와 패스키 관리자에 따라 달라질 수 있습니다.
계정 하나에 패스키를 여러 개 만들 수도 있습니다
비밀번호는 보통 계정당 하나를 사용하는 경우가 많습니다.
패스키는 서비스에 따라 한 계정에 여러 개를 등록할 수 있습니다.
예를 들어 기기마다 별도의 패스키를 두거나, 동기화를 지원하는 환경에서는 같은 패스키를 여러 기기에서 사용할 수도 있습니다.
이 부분은 서비스와 패스키 관리자에 따라 다릅니다.
패스키를 만들면 기존 비밀번호가 사라질까요?
꼭 그렇지는 않습니다.
서비스에 따라 패스키를 만들고도 기존 비밀번호나 다른 로그인 방법을 남겨둘 수 있습니다.
그래서 패스키 만들기 버튼을 눌렀다고 바로 기존 로그인 방법을 모두 잃는다고 생각할 필요는 없습니다.
다만 서비스마다 운영 방식이 다르므로 실제 사용 전 로그인과 복구 방법을 확인하는 것이 좋습니다.
패스키를 이해하는 핵심
비밀번호 = 내가 기억해서 입력하는 것
패스키 = 내 기기에 저장된 로그인 자격 증명을 기기 잠금으로 사용하는 것
자주 묻는 질문
패스키를 쓰면 비밀번호를 외울 필요가 없나요?
패스키 로그인 자체에서는 긴 비밀번호를 직접 입력할 필요가 없습니다. 다만 계정 복구 수단은 따로 확인해두는 것이 좋습니다.
패스키는 지문이 꼭 있어야 하나요?
아닙니다. 기기에 따라 얼굴 인식이나 PIN 등 다른 화면 잠금 방법을 사용할 수도 있습니다.
패스키를 만들면 지문이 사이트에 저장되나요?
지문이나 얼굴 정보는 기기에서 사용자 확인에 사용됩니다. 사이트가 생체정보 자체를 받는 방식은 아닙니다.
모든 사이트에서 사용할 수 있나요?
아직 모든 서비스가 지원하는 것은 아닙니다. 패스키를 지원하는 사이트나 앱에서 사용할 수 있습니다.
마무리
패스키는 이름은 어렵지만 사용자 입장에서는 오히려 단순합니다.
긴 비밀번호를 외우고 입력하는 대신, 내 휴대폰이나 컴퓨터의 화면 잠금으로 본인 확인을 하고 로그인하는 방식입니다.
또 사용자가 직접 비밀 문자열을 입력하지 않기 때문에 전통적인 피싱 공격에 강하고, 같은 비밀번호를 여러 사이트에 재사용하는 문제도 줄일 수 있습니다.
다음으로 자연스럽게 궁금해지는 부분은 “그렇다면 휴대폰을 잃어버리면 어떻게 되지?”일 겁니다.
댓글
댓글 쓰기