비밀번호가 사라진다? 패스키란 무엇이고 비밀번호보다 안전한 이유

“비밀번호가 올바르지 않습니다.”

분명 자주 사용하는 비밀번호를 입력했는데 로그인이 되지 않습니다.

대문자를 넣었는지, 숫자 뒤에 특수문자를 붙였는지 기억이 나지 않습니다.

결국 ‘비밀번호 찾기’를 누르고 인증번호를 받은 뒤 새로운 비밀번호를 만듭니다.

그런데 최근에는 이런 과정을 아예 없애려는 로그인 방식이 빠르게 확산되고 있습니다.

바로 패스키(Passkey)입니다.

패스키를 사용하면 복잡한 비밀번호를 외우지 않아도 지문이나 얼굴 인식, 스마트폰 화면 잠금 방식 등을 이용해 로그인할 수 있습니다.

구글, 애플, 마이크로소프트를 비롯한 주요 플랫폼에서도 패스키 사용을 확대하면서 앞으로 우리가 인터넷에 로그인하는 방식 자체가 달라질 가능성이 커졌습니다.

그렇다면 패스키는 정확히 무엇이고 기존 비밀번호보다 왜 안전하다고 하는 걸까요?

1. 패스키란 무엇일까?

패스키는 기존 비밀번호를 대신할 수 있도록 만들어진 로그인 방식입니다.

가장 쉽게 이해하는 방법은 스마트폰 잠금 해제를 생각하는 것입니다.

아이폰에서는 Face ID나 Touch ID를 사용하고, 안드로이드 스마트폰에서는 지문이나 얼굴, PIN 등을 이용해 본인을 확인합니다.

패스키를 지원하는 서비스에서는 이와 비슷한 방식으로 로그인할 수 있습니다.

예를 들어 웹사이트에 접속했을 때 아이디와 긴 비밀번호를 입력하는 대신 스마트폰에서 지문이나 얼굴을 확인하면 로그인이 완료되는 식입니다.

중요한 차이가 하나 있습니다.

내 지문이나 얼굴 사진 자체가 웹사이트로 전송되어 로그인하는 방식은 아닙니다.

기기에 저장된 패스키를 사용할 수 있도록 본인임을 확인하는 과정에서 생체인증이나 화면 잠금 방식이 활용됩니다.

2. 패스키는 어떻게 작동할까?

패스키의 원리를 이해하려면 ‘열쇠 두 개’를 생각하면 쉽습니다.

패스키를 만들면 서로 연결된 암호화 키가 생성됩니다.

하나는 서비스를 제공하는 서버에 저장되고 다른 하나는 사용자의 기기 등에 안전하게 보관됩니다.

로그인할 때 서버가 확인 요청을 보내면 사용자의 기기에 있는 키를 이용해 본인임을 증명합니다.

이 과정에서 실제 비밀번호를 서버로 보내지 않습니다.

그래서 서버에서 비밀번호가 유출되는 기존 방식의 위험을 줄일 수 있습니다.

사용자는 복잡한 암호화 과정을 알 필요가 없습니다.

화면에서는 지문이나 얼굴을 확인하는 간단한 로그인처럼 보입니다.

3. 비밀번호보다 패스키가 안전하다는 이유

비밀번호에는 오래된 약점이 있습니다.

사람이 기억해야 한다는 것입니다.

비밀번호가 많아지면 결국 쉬운 비밀번호를 만들거나 여러 사이트에서 같은 비밀번호를 사용하게 됩니다.

예를 들어 쇼핑몰과 커뮤니티, 이메일에서 동일한 비밀번호를 사용했다고 생각해 보겠습니다.

한 사이트에서 계정 정보가 유출되면 공격자가 같은 이메일과 비밀번호를 다른 사이트에도 입력해 볼 수 있습니다.

패스키는 사이트마다 별도의 암호화 정보를 사용하기 때문에 이러한 비밀번호 재사용 문제를 줄이는 데 도움이 됩니다.

또한 사람이 직접 비밀번호를 입력하지 않기 때문에 비밀번호를 훔치는 전형적인 피싱 공격에도 상대적으로 강합니다.

4. 가짜 로그인 사이트에서도 안전할까?

패스키가 주목받는 가장 큰 이유 가운데 하나가 피싱 방어입니다.

예를 들어 은행이나 포털사이트와 거의 똑같이 만든 가짜 사이트가 있다고 가정해 보겠습니다.

기존 방식에서는 사용자가 속아서 아이디와 비밀번호를 입력하면 공격자에게 로그인 정보가 넘어갈 수 있습니다.

패스키는 특정 웹사이트나 서비스와 연결되어 인증이 이루어집니다.

따라서 사용자가 비슷하게 생긴 가짜 사이트에 접속했다고 해서 원래 사이트의 패스키를 그대로 입력하는 방식이 아닙니다.

이 때문에 패스키는 비밀번호를 직접 입력하는 방식보다 피싱 공격에 강한 인증 방법으로 평가됩니다.

물론 패스키를 사용한다고 해서 모든 인터넷 사기에서 자동으로 보호되는 것은 아닙니다.

결제 사기나 개인정보 요구 등 다른 형태의 공격에는 여전히 주의해야 합니다.

5. 지문이나 얼굴 정보가 인터넷으로 전송될까?

패스키를 처음 사용하는 사람이 가장 걱정하는 부분입니다.

“로그인할 때 얼굴을 인식하면 내 얼굴 정보가 사이트로 전송되는 것 아닌가?”

일반적인 패스키 인증에서는 그렇지 않습니다.

지문이나 얼굴 인식은 사용자의 기기에서 본인 여부를 확인하는 수단으로 사용됩니다.

웹사이트가 사용자의 실제 지문이나 얼굴 사진을 받아서 비교하는 방식이 아닙니다.

예를 들어 스마트폰에서 지문을 확인하면 기기는 ‘정상적인 사용자가 인증했다’는 것을 바탕으로 저장된 패스키를 사용할 수 있게 합니다.

따라서 패스키와 생체정보 자체는 구분해서 이해하는 것이 좋습니다.

6. 휴대폰을 잃어버리면 어떻게 될까?

여기에서 가장 궁금한 문제가 생깁니다.

패스키가 스마트폰에 있는데 스마트폰을 잃어버리면 어떻게 해야 할까요?

패스키는 사용하는 운영체제와 서비스에 따라 계정 기반으로 동기화할 수 있습니다.

예를 들어 새 스마트폰에서 자신의 계정으로 로그인하고 필요한 본인 인증 과정을 거치면 동기화된 패스키를 다시 사용할 수 있는 경우가 있습니다.

하지만 모든 패스키가 동일한 방식으로 복구되는 것은 아닙니다.

서비스나 기기 환경에 따라 별도의 복구 방법을 제공하기도 합니다.

따라서 패스키를 만들 때는 해당 서비스의 계정 복구 방법도 함께 확인하는 것이 좋습니다.

특히 중요한 계정이라면 복구 이메일과 전화번호가 최신 정보인지 확인해 두세요.

7. 아이폰에서 패스키를 사용할 수 있을까?

가능합니다.

애플 기기에서는 지원되는 웹사이트와 앱에서 패스키를 사용할 수 있습니다.

로그인 과정에서 Face ID나 Touch ID 등을 이용해 본인 확인을 진행할 수 있습니다.

패스키를 지원하는 서비스에서 패스키 생성 메뉴를 선택하면 기기의 안내에 따라 등록할 수 있습니다.

등록을 완료하면 다음 로그인부터 비밀번호 대신 패스키를 선택할 수 있습니다.

다만 메뉴 이름과 위치는 사용하는 앱과 서비스에 따라 다를 수 있습니다.

8. 갤럭시·안드로이드에서도 사용할 수 있을까?

안드로이드에서도 패스키를 지원합니다.

지원되는 앱이나 웹사이트에서 패스키를 생성한 뒤 스마트폰의 화면 잠금 인증 등을 이용해 로그인할 수 있습니다.

지문을 등록해 사용하고 있다면 패스키 로그인 과정에서도 지문 인증을 사용할 수 있습니다.

다만 안드로이드 버전과 사용하는 비밀번호 관리자, 앱의 패스키 지원 여부에 따라 실제 화면은 달라질 수 있습니다.

따라서 ‘패스키 만들기’ 메뉴가 보이지 않는다면 먼저 해당 서비스가 패스키 로그인을 지원하는지 확인하는 것이 좋습니다.

9. 컴퓨터에서도 패스키를 사용할 수 있을까?

패스키는 스마트폰 전용 기능이 아닙니다.

지원되는 Windows PC와 Mac에서도 사용할 수 있습니다.

컴퓨터 자체에 저장된 패스키를 이용하거나 스마트폰에 있는 패스키를 이용해 컴퓨터에서 로그인하는 방식도 가능합니다.

예를 들어 PC에서 로그인할 때 화면에 QR 코드가 표시되고 스마트폰으로 이를 확인해 인증하는 방식이 사용될 수 있습니다.

즉 패스키는 ‘휴대폰 하나에만 저장된 비밀번호’라기보다 여러 기기에서 안전하게 인증하기 위한 기술에 가깝습니다.

10. 패스키를 만들면 기존 비밀번호는 삭제해도 될까?

여기서는 조금 신중해야 합니다.

서비스에 따라 패스키를 등록해도 기존 비밀번호 로그인 기능을 함께 제공할 수 있습니다.

또 어떤 서비스는 패스키를 기본 로그인 방법으로 사용하면서 별도의 복구 절차를 제공합니다.

따라서 패스키를 하나 만들었다는 이유만으로 기존 비밀번호나 복구 수단을 임의로 없애는 것은 권장하지 않습니다.

먼저 다른 기기에서도 정상적으로 로그인할 수 있는지 확인하세요.

계정 복구 이메일과 전화번호도 확인하는 것이 좋습니다.

그 후 해당 서비스에서 제공하는 보안 설정에 따라 로그인 방법을 관리하면 됩니다.

11. 패스키와 2단계 인증은 무엇이 다를까?

두 기능은 비슷해 보이지만 개념이 다릅니다.

기존 로그인에서는

아이디 + 비밀번호

를 먼저 입력한 뒤

문자 인증번호 또는 인증 앱

을 추가로 요구하는 경우가 있습니다.

이것이 대표적인 2단계 인증입니다.

패스키는 비밀번호 자체를 대체할 수 있는 로그인 방식입니다.

따라서 비밀번호를 입력한 다음 패스키를 한 번 더 입력하는 개념으로만 이해하면 정확하지 않습니다.

서비스마다 보안 정책이 다르기 때문에 패스키와 추가 인증을 함께 요구하는 경우도 있을 수 있습니다.

중요한 것은 패스키가 단순히 ‘더 편한 비밀번호’가 아니라 비밀번호에 의존하는 기존 로그인 구조를 바꾸기 위해 만들어진 기술이라는 점입니다.

12. 패스키를 사용할 때도 주의할 점

패스키가 안전한 기술이라고 해서 계정 관리가 필요 없어지는 것은 아닙니다.

스마트폰 자체의 화면 잠금을 설정하지 않으면 기기를 잃어버렸을 때 위험할 수 있습니다.

휴대폰 잠금 PIN도 너무 단순하게 설정하지 않는 것이 좋습니다.

계정 복구용 이메일과 전화번호도 관리해야 합니다.

특히 이메일 계정은 다른 서비스의 비밀번호나 계정을 복구하는 데 사용되는 경우가 많기 때문에 더욱 중요합니다.

또한 공용 컴퓨터에서 패스키를 생성하거나 저장할 때는 어떤 기기에 정보가 저장되는지 반드시 확인해야 합니다.

13. 패스키를 지금부터 사용해야 할까?

모든 사이트가 패스키를 지원하는 것은 아니기 때문에 당장 비밀번호가 완전히 사라지지는 않을 것입니다.

한동안은 비밀번호와 패스키가 함께 사용될 가능성이 높습니다.

하지만 자주 사용하는 주요 서비스에서 패스키를 지원한다면 사용을 고려할 만합니다.

특히 이메일처럼 다른 계정의 복구와 연결되는 중요한 계정은 보안 수준을 높이는 것이 좋습니다.

처음에는 낯설지만 실제 사용 과정은 오히려 비밀번호보다 간단할 수 있습니다.

복잡한 문자열을 기억하고 입력하는 대신 얼굴이나 지문, 기기의 화면 잠금 방식으로 본인을 확인하면 되기 때문입니다.

자주 묻는 질문

Q. 패스키를 사용하면 비밀번호를 외울 필요가 없나요?

패스키만으로 로그인을 지원하는 서비스에서는 비밀번호를 입력하지 않고 로그인할 수 있습니다. 다만 서비스에 따라 기존 비밀번호나 별도의 계정 복구 수단을 함께 유지할 수 있습니다.

Q. 패스키는 무료인가요?

패스키 기술 자체를 사용한다고 별도의 이용료를 지불하는 방식은 일반적이지 않습니다. 다만 사용하는 서비스와 기기의 정책은 별도로 확인해야 합니다.

Q. 휴대폰을 바꾸면 패스키를 다시 만들어야 하나요?

패스키가 계정을 통해 동기화되는 환경에서는 새 기기에서도 사용할 수 있는 경우가 있습니다. 서비스와 운영체제에 따라 방식이 달라질 수 있습니다.

Q. 지문이 유출되지는 않나요?

일반적인 패스키 인증에서 지문이나 얼굴 정보 자체를 로그인하려는 웹사이트에 전송하는 방식은 아닙니다. 생체인증은 기기에서 사용자를 확인하는 데 활용됩니다.

Q. 패스키를 사용하면 해킹이 완전히 불가능한가요?

아닙니다. 패스키는 비밀번호 탈취와 피싱 위험을 크게 줄이는 데 도움이 되지만 계정 복구 사기나 악성 프로그램 등 모든 보안 위협을 막아주는 것은 아닙니다.

마무리｜비밀번호를 잘 만드는 시대에서 비밀번호를 없애는 시대로

오랫동안 인터넷 보안의 기본은 ‘어려운 비밀번호를 만들어라’였습니다.

대문자와 소문자, 숫자와 특수문자를 섞고 사이트마다 다른 비밀번호를 사용하라는 것이었습니다.

하지만 사용하는 서비스가 많아질수록 모든 비밀번호를 기억하는 것은 현실적으로 어려워졌습니다.

패스키는 이 문제를 다른 방식으로 해결하려는 기술입니다.

사용자가 비밀번호를 기억해서 입력하는 대신 자신의 기기를 이용해 안전하게 본인임을 증명하는 것입니다.

아직 모든 사이트에서 사용할 수 있는 것은 아니지만 패스키를 지원하는 서비스는 점차 늘어나고 있습니다.

앞으로 로그인 화면에서 ‘패스키로 로그인’이라는 버튼을 발견한다면 그냥 지나치지 마세요.

비밀번호를 하나 더 만드는 대신, 비밀번호를 사용하지 않는 로그인 방법을 경험해 볼 수 있습니다.