패스키는 비밀번호를 외우고 입력하는 대신 스마트폰이나 컴퓨터의 지문, 얼굴, PIN 등으로 로그인하는 방식입니다. 핵심 차이는 비밀번호를 서버에 제출하는 것이 아니라 사이트별 공개키·개인키 쌍으로 로그인 요청을 확인한다는 점이며, 이 구조가 피싱과 비밀번호 재사용 위험을 줄입니다.
📌 핵심 5줄 요약
1. 패스키는 비밀번호를 대체하는 FIDO 기반 인증 수단이다.
2. 서비스에는 공개키가 저장되고 개인키는 사용자의 기기 또는 동기화 계정에서 보호된다.
3. 로그인할 때 기기 잠금 해제로 사용자를 확인한 뒤 암호학적 서명이 전송된다.
4. 사이트 주소에 묶여 작동하므로 가짜 로그인 페이지에 비밀번호를 입력하는 위험이 줄어든다.
5. 기기 분실에 대비해 동기화, 복구 이메일, 보안키 등 복구 수단을 점검해야 한다.
📌 목차
01 | 패스키란 무엇인가
02 | 비밀번호 로그인과 다른 점
03 | FIDO와 FIDO2의 관계
04 | 패스키가 만들어지는 과정
05 | 패스키로 로그인하는 과정
06 | 공개키와 개인키의 역할
07 | 패스키가 피싱에 강한 이유
08 | 생체인증은 서버로 전송되는가
09 | 동기화 패스키와 기기 종속 패스키
10 | 패스키와 비밀번호 비교
11 | 패스키의 장점
12 | 패스키의 한계와 주의사항
13 | 실제 사용과 전환 방법
14 | 어떤 인증 방식을 선택할까
01 | 패스키란 무엇인가
패스키는 FIDO 인증 표준을 활용하는 비밀번호 대체 기술입니다. 사용자는 기기의 생체인증, PIN, 패턴 또는 보안키로 본인을 확인하고, 서비스는 그 결과를 공개키 암호 방식으로 검증합니다.
FIDO Alliance는 패스키를 FIDO 자격 증명으로 설명하며, 동기화 패스키와 특정 기기에 묶이는 기기 종속 패스키로 구분합니다.
02 | 비밀번호 로그인과 다른 점
비밀번호 방식에서는 사용자가 알고 있는 문자열을 서버에 제출합니다. 서버는 일반적으로 비밀번호 자체가 아니라 해시 형태로 보관하지만, 사용자가 같은 비밀번호를 여러 사이트에서 재사용하면 한 곳의 유출이 다른 계정으로 이어질 수 있습니다.
패스키는 사이트마다 별도의 암호키를 사용하므로 한 서비스의 자격 증명이 다른 서비스의 로그인에 그대로 재사용되지 않습니다.
03 | FIDO와 FIDO2의 관계
FIDO는 온라인 계정 인증을 위한 표준 생태계와 기술을 가리킵니다. FIDO2는 브라우저와 웹서비스에서 사용하는 WebAuthn과 기기·인증자 간 통신을 담당하는 CTAP를 함께 활용하는 구조입니다.
WebAuthn은 웹사이트가 공개키 자격 증명을 만들고 사용하는 브라우저 API이며, CTAP는 보안키나 다른 인증자와 클라이언트가 통신하는 규격입니다.
04 | 패스키가 만들어지는 과정
사용자가 서비스에서 패스키 등록을 선택하면 인증자가 공개키와 개인키로 구성된 키 쌍을 생성합니다. 공개키는 서비스가 보관하고, 개인키는 인증자 내부 또는 운영체제의 보호된 저장 영역에 남습니다.
이때 자격 증명은 특정 서비스의 도메인과 연결됩니다. WebAuthn은 자격 증명이 등록된 서비스 범위에서만 사용되도록 제한합니다.
05 | 패스키로 로그인하는 과정
서비스는 로그인 요청마다 일회성 도전값을 만들고, 기기 인증자에 전달합니다. 사용자가 지문이나 PIN으로 승인하면 개인키가 해당 도전값에 서명하고, 서비스는 저장된 공개키로 서명을 검증합니다.
따라서 로그인 때마다 같은 비밀번호 문자열을 반복해서 전송하지 않습니다. 일회성 도전값은 이전 인증 결과를 그대로 재사용하는 공격도 어렵게 만듭니다.
06 | 공개키와 개인키의 역할
| 구분 | 역할 |
|---|---|
| 공개키 | 서비스 서버에 저장되며 로그인 서명을 검증하는 데 사용됩니다. |
| 개인키 | 사용자 기기나 보안키에 보관되며 로그인 요청에 서명할 때 사용됩니다. |
| 기기 잠금 해제 | 개인키 사용 전에 사용자의 동작을 확인하는 역할을 합니다. |
생체인증은 개인키를 직접 서버에 보내는 절차가 아닙니다. 일반적으로 생체정보는 기기 안에서 사용자를 확인하는 수단으로 처리되고, 서비스에는 인증 결과와 암호학적 응답이 전달됩니다.
07 | 패스키가 피싱에 강한 이유
가짜 사이트는 사용자의 비밀번호를 입력받아 실제 사이트에 재전달할 수 있습니다. 반면 패스키는 등록된 서비스의 도메인과 연결되어 있어 다른 도메인에서 같은 자격 증명을 사용하기 어렵습니다.
NIST는 WebAuthn과 FIDO2를 검증자 이름에 인증 결과를 묶는 피싱 저항 인증의 예로 설명합니다. 다만 사용자가 가짜 사이트에서 직접 계정 복구 정보나 비밀번호를 입력하면 별도의 위험이 남습니다.
08 | 생체인증은 서버로 전송되는가
패스키 로그인에서 지문이나 얼굴 정보가 서비스 서버로 전송되어 비교되는 것은 일반적인 구조가 아닙니다. 생체인증은 기기 내부에서 개인키 사용을 승인하는 로컬 확인 수단으로 활용됩니다.
다만 서비스와 기기의 구현 방식, 운영체제 정책, 인증자 유형에 따라 세부 동작은 달라질 수 있으므로 보안 설정과 개인정보 처리방침을 함께 확인하는 것이 좋습니다.
09 | 동기화 패스키와 기기 종속 패스키
동기화 패스키는 같은 계정으로 연결된 여러 기기에서 사용할 수 있도록 보호된 방식으로 동기화됩니다. 새 스마트폰으로 바꿨을 때 복구가 편리하다는 장점이 있습니다.
기기 종속 패스키는 하나의 기기나 보안키에만 묶입니다. 동기화되지 않는 대신 저장 범위가 명확하므로 높은 통제 수준을 원하는 사용자나 조직에서 고려할 수 있습니다. FIDO Alliance도 두 유형을 구분해 설명합니다.
10 | 패스키와 비밀번호 비교
| 비교 항목 | 패스키 | 비밀번호 |
|---|---|---|
| 사용 방법 | 기기 잠금 해제나 보안키 승인 | 문자열 입력 |
| 피싱 대응 | 서비스 도메인에 묶여 상대적으로 강함 | 가짜 사이트에 직접 입력할 위험 |
| 재사용 위험 | 서비스별 키 사용 | 사용자가 여러 사이트에서 재사용할 수 있음 |
| 기기 변경 | 동기화 또는 복구 절차 필요 | 비밀번호만 알면 로그인 가능 |
| 분실 대응 | 등록된 다른 기기와 복구 수단 필요 | 비밀번호 재설정 절차 필요 |
11 | 패스키의 장점
가장 큰 장점은 비밀번호를 기억하거나 입력할 필요가 줄어든다는 점입니다. 비밀번호 재사용, 단순한 비밀번호 설정, 키보드 입력 가로채기와 같은 문제도 줄일 수 있습니다.
또한 패스키는 로그인 승인 과정이 기기 잠금 해제와 비슷해 사용성이 좋고, 서비스별로 다른 암호키를 사용해 자격 증명 분리를 돕습니다.
12 | 패스키의 한계와 주의사항
패스키가 모든 보안 문제를 자동으로 해결하는 것은 아닙니다. 스마트폰이나 계정 동기화 서비스의 잠금이 약하면 공격자가 기기 또는 계정에 접근했을 때 문제가 발생할 수 있습니다.
기기를 잃어버렸을 때 사용할 다른 기기, 복구 이메일, 백업 코드, 보안키 등의 대체 수단을 미리 확인해야 합니다. 복구 과정에서 비밀번호나 일회용 코드 입력을 요구하는 경우에는 공식 앱이나 주소인지 먼저 확인하세요.
동기화 패스키는 편리하지만, 개인용 계정과 업무용 계정의 정책이 다를 수 있습니다. 조직 계정은 관리자가 허용한 인증 방식과 보안키 등록 정책을 따르는 것이 안전합니다.
13 | 실제 사용과 전환 방법
기존 계정에 패스키 등록하기
서비스의 계정 보안 또는 로그인 설정에서 ‘패스키’, ‘보안키’, ‘비밀번호 없는 로그인’과 같은 항목을 찾습니다. 등록을 시작한 뒤 화면 안내에 따라 스마트폰, 컴퓨터 또는 보안키에서 지문·얼굴·PIN으로 승인하면 됩니다.
등록 후 확인할 항목
패스키 이름과 등록 기기를 확인하고, 사용하지 않는 기기는 계정 설정에서 삭제합니다. 새 기기로 변경하기 전에는 기존 기기 외에 다른 로그인 방법이 실제로 작동하는지 시험하는 것이 좋습니다.
14 | 어떤 인증 방식을 선택할까
일상적인 개인 계정에는 동기화 패스키가 편의성과 보안의 균형을 맞추기 쉽습니다. 여러 기기를 사용하거나 스마트폰을 자주 교체한다면 특히 복구 편의성이 중요합니다.
업무·관리자 계정처럼 탈취 피해가 큰 계정은 기기 종속 패스키나 별도 하드웨어 보안키를 추가로 검토할 수 있습니다. 패스키를 지원하지 않는 서비스에서는 고유하고 긴 비밀번호를 비밀번호 관리자에 저장하고, 가능하면 패스키 또는 보안키 기반 다중 인증을 함께 사용하세요.
☑ 체크리스트
□ 자주 사용하는 계정에서 패스키 지원 여부를 확인했는가
□ 패스키를 등록한 기기와 계정 동기화 상태를 알고 있는가
□ 스마트폰 분실 시 사용할 다른 로그인·복구 수단이 있는가
□ 사용하지 않는 기기와 오래된 패스키를 삭제했는가
□ 업무용 계정은 조직의 보안키·인증 정책을 따르고 있는가
□ 패스키를 지원하지 않는 서비스에는 비밀번호 재사용을 하지 않았는가
📖 자주하는 질문 Q&A
패스키를 사용하면 비밀번호가 완전히 사라지나요?
서비스에 따라 다릅니다. 패스키를 주 로그인 수단으로 제공하더라도 초기 등록, 계정 복구 또는 호환성 때문에 비밀번호를 보조 수단으로 남겨둘 수 있습니다.
지문인증을 등록하면 지문이 사이트에 저장되나요?
일반적인 FIDO 구조에서는 지문 정보가 기기 내부에서 사용자를 확인하는 데 쓰이고, 사이트에는 지문 원본이 전달되지 않습니다. 다만 구체적인 처리 방식은 사용하는 기기와 운영체제 정책을 확인해야 합니다.
휴대폰을 잃어버리면 패스키도 사라지나요?
동기화 패스키인지 기기 종속 패스키인지에 따라 다릅니다. 다른 기기에 동기화되어 있거나 별도 복구 수단이 있다면 새 기기에서 계정을 되찾을 수 있지만, 단일 기기에만 저장된 패스키는 사전에 등록한 복구 방법이 중요합니다.
패스키와 비밀번호를 함께 사용해도 되나요?
가능합니다. 다만 비밀번호가 계속 활성화되어 있으면 공격자가 보안 수준이 낮은 비밀번호 로그인으로 우회할 수 있으므로, 서비스가 허용한다면 비밀번호 로그인 제한이나 추가 인증 설정을 검토하세요.
📝 마무리
패스키는 비밀번호를 단순히 다른 입력 방식으로 바꾼 것이 아니라, 공개키 암호와 기기 인증을 결합한 로그인 방식입니다. 피싱과 비밀번호 재사용 위험을 줄이는 데 유리하지만, 기기 분실과 계정 복구까지 포함해 관리해야 효과가 유지됩니다. 개인 계정은 동기화 패스키를, 중요 계정은 별도 보안키와 복구 수단을 함께 검토하면 됩니다.