패스키란｜비밀번호와의 차이와 설정·사용 방법

패스키란 무엇인가

패스키는 비밀번호 대신 로그인하기 위한 열쇠입니다. 설정하면 기기 안에 '개인 키'가, 서비스 쪽에 '공개 키'가 저장됩니다. 로그인할 때마다 서비스가 보낸 데이터에 기기가 개인 키로 서명하고, 서비스는 공개 키로 그 서명을 확인합니다. 개인 키 자체는 기기 밖으로 나가지 않습니다.

쓰는 사람 입장에서 조작은 '얼굴 인식·지문 인식·화면 잠금 해제'뿐입니다. 글자를 입력할 일이 없으므로 외울 필요도, 어딘가에 적어 둘 필요도 없습니다. 생체 인식은 기기 잠금을 푸는 데만 쓰이며, 얼굴이나 지문 데이터가 서비스로 전송되지는 않습니다.

비밀번호·2단계 인증과의 차이

주목할 것은 '가짜 사이트' 행입니다. 2단계 인증을 설정해 두어도 가짜 사이트로 유도되어 코드까지 입력해 버리면 뚫릴 수 있습니다. 패스키는 등록한 사이트의 도메인과 연결되어 있어서, 겉모습이 똑같은 다른 도메인의 페이지에서는 작동하지 않습니다. 사람이 알아채지 못해도 구조가 막아 준다는 점이 결정적인 차이입니다.

왜 피싱에 강한가

• 등록한 도메인과 연결되어 있다: 가짜 사이트의 도메인에서는 아예 패스키가 호출되지 않는다
• 개인 키가 전송되지 않는다: 통신을 도청당해도 오가는 것은 매번 다른 서명뿐이다
• 서버에 비밀이 저장되지 않는다: 서비스 쪽이 유출되어도 공개 키로는 로그인할 수 없다
• 구조상 재사용이 일어나지 않는다: 서비스마다 다른 열쇠가 만들어진다
• 사람의 판단에 의존하지 않는다: URL을 알아보지 못해도 조건이 맞지 않으면 작동하지 않는다

비밀번호 사고는 대부분 '입력해 버렸다'에서 시작됩니다. 피싱 메일에서 가짜 로그인 화면으로 넘어가 평소처럼 입력하는 것입니다. 패스키는 그 입력이라는 행위 자체를 없앱니다. 실수할 여지를 줄인다는 의미에서 주의력에 기대는 대책보다 확실합니다.

패스키 설정 순서

1. 1

   지원하는지 확인한다

   계정 설정의 보안 관련 항목에 '패스키', '비밀번호 없이 로그인' 같은 표시가 있는지 봅니다. 없다면 그 서비스는 아직 지원하지 않습니다.

2. 2

   저장 위치를 정한다

   기기에 저장할지, 비밀번호 관리자에 저장할지 고릅니다. 여러 기기에서 쓴다면 동기화되는 쪽을 골라 두면 나중이 편합니다.

3. 3

   만들고 인증한다

   화면 안내에 따라 얼굴 인식·지문 인식·PIN 중 하나로 본인 확인을 합니다. 이때 개인 키가 기기에 저장됩니다.

4. 4

   바로 다시 로그인해서 시험한다

   한 번 로그아웃하고 패스키로 로그인할 수 있는지 확인합니다. 설정만 하고 시험하지 않으면 필요할 때 쓸 수 없는 상태를 알아차리지 못합니다.

5. 5

   비밀번호와 복구 수단을 남겨 둔다

   패스키를 쓸 수 없는 상황에 대비해 기존 비밀번호와 백업 코드는 지우지 말고 보관합니다.

마지막 단계를 건너뛰지 마세요. 패스키를 설정한 기기를 잃어버렸는데 비밀번호도 복구 코드도 남겨 두지 않았다면 계정에 들어갈 수 없게 됩니다. 패스키는 일상의 로그인을 편하게 해 주는 것이지, 복구 수단까지 대신하는 것은 아닙니다.

패스키는 어디에 저장되나

스마트폰과 컴퓨터의 제조사가 다르다면 비밀번호 관리자에 저장해 두면 헷갈릴 일이 줄어듭니다. 동기화를 지원한다면 컴퓨터에서 만든 패스키를 스마트폰에서도 쓸 수 있습니다. 동기화하지 않는 방식을 골랐다면 기기마다 패스키를 따로 추가로 등록해야 합니다.

쓰기 시작하기 전에 알아 두고 싶은 주의점

• 공용 기기에는 만들지 않는다: 가족 공용 컴퓨터에 패스키를 만들면 화면 잠금을 풀 수 있는 사람은 모두 로그인할 수 있습니다
• 기기를 바꾸기 전에 확인한다: 동기화되지 않는 설정이라면 예전 기기를 처분하기 전에 새 기기에 패스키를 추가하세요
• 회사 기기는 회사 방침을 따른다: 업무 계정은 관리자 쪽 설정으로 제한되어 있을 수 있습니다
• 지원 현황은 서비스마다 다르다: 같은 서비스라도 앱과 웹에서 동작이 다를 수 있습니다
• 비밀번호를 약한 채로 두지 않는다: 병행하는 이상 비밀번호 쪽이 뚫리는 통로가 됩니다

마지막 항목은 놓치기 쉽습니다. 패스키를 설정해도 그 계정에 오래되고 짧은 비밀번호가 남아 있다면 공격자는 그쪽을 노립니다. 병행하는 동안에는 비밀번호도 충분히 긴 것으로 바꿔 두세요. 비밀번호 생성 도구를 쓰면 길이와 문자 종류를 지정해 추측하기 어려운 문자열을 한꺼번에 만들 수 있습니다. 생성은 브라우저 안에서 끝나며 서버로 전송되지 않습니다. 병행할 비밀번호 정하는 법은 안전한 비밀번호 만드는 법에, 패스키를 지원하지 않는 서비스에서 쓸 인증 방식 고르는 법은 2단계 인증의 우선순위에 정리했습니다.

자주 묻는 질문

패스키와 비밀번호의 차이는 무엇인가요?

비밀번호는 나와 서비스가 같은 문자열을 공유하는 구조라서 새어 나가면 누구나 로그인할 수 있습니다. 패스키는 기기에 개인 키, 서비스에 공개 키를 두는 구조이고 개인 키는 기기 밖으로 나가지 않습니다. 서비스 쪽 정보가 유출되어도 로그인에 쓸 수 없고, 등록한 도메인 밖에서는 작동하지 않으므로 가짜 사이트에 입력하는 피해도 생기지 않습니다.

패스키를 설정한 기기를 잃어버리면 어떻게 되나요?

동기화를 지원하는 저장 위치(OS의 동기화 기능이나 비밀번호 관리자)로 해 두었다면 새 기기에서 같은 패스키를 쓸 수 있습니다. 기기에만 저장했다면 쓸 수 없게 되므로, 비밀번호나 백업 코드 같은 다른 복구 수단으로 로그인한 뒤 새 기기에서 패스키를 다시 만듭니다. 복구 수단을 지우지 않고 남겨 두는 것이 전제입니다.

패스키는 생체 인식 정보를 서비스에 보내나요?

보내지 않습니다. 얼굴 인식이나 지문 인식은 기기 잠금을 풀어 개인 키를 쓸 수 있게 하는 데만 쓰입니다. 서비스에 전달되는 것은 그 열쇠로 만든 서명뿐입니다. 생체 정보는 기기 안에 머뭅니다.

패스키로 바꾸면 비밀번호는 지워도 되나요?

아직 지우지 마세요. 패스키를 지원하지 않는 화면이나 패스키를 쓸 수 없는 상황이 남아 있기 때문입니다. 비밀번호는 복구 수단으로 보관하고, 병행하는 동안에는 충분히 긴 것으로 바꿔 두세요. 앞으로 서비스 쪽에서 비밀번호 삭제를 고를 수 있게 되더라도, 다른 복구 수단이 준비되어 있는지 확인한 뒤 판단하세요.