저는 몇 년 전까지만 해도 매번 사이트마다 대문자와 특수문자를 섞어 만든
비밀번호를 잊어버려 '비밀번호 찾기'와 씨름했습니다. 비밀번호 관리 앱 후기를
샅샅이 읽어보기도 하고, 노트에 비밀번호를 하나하나 적어두다가 결국엔 통일된
비밀번호를 쓰는 위험한 습관을 이어갔죠. 하지만 아이폰에서 패스키를 도입한 후
완전히 달라졌습니다. 이제는 노트북 앞에 앉아 손가락을 터치 ID에 대거나 페이스
아이디를 보는 것만으로 1초 만에 로그인이 끝납니다. 비밀번호를 외우는 시대에서
내가 나임을 증명하는 시대로 넘어왔음을 실감하고 있습니다.
비밀번호를 대체하는 패스키의 작동 원리
패스키(Passkey)는 기존 비밀번호 방식이 가진 보안 취약점과 사용의 불편함을
동시에 해결하기 위해 설계된 차세대 인증 기술입니다. 애플은 macOS Ventura와 iOS
16부터 모든 사용자에게 패스키를 정식 제공하기 시작했습니다. 기존 비밀번호
시스템은 사용자와 서버가 동일한 비밀을 공유하는 구조였기 때문에, 서버가
해킹당하면 사용자 정보가 그대로 유출되는 위험이 있었습니다. 하지만 패스키는
공개키 암호화(Asymmetric Cryptography) 방식을 사용합니다. 공개키 암호화란
서버에 비밀번호를 저장하지 않고, 기기 내부의 '개인키(Private Key)'와
웹사이트의 '공개키(Public Key)'가 쌍을 이루어 인증하는 방식을 뜻합니다.
로그인 과정을 구체적으로 살펴보면, 서버는 기기로 일회성 챌린지를 보내고 기기는
개인키를 사용해 유효한 서명을 생성하여 다시 서버로 전송합니다. 서버는 개인키를
알 필요 없이 공개키로 솔루션의 유효성만 검사하면 됩니다. 이 구조 덕분에 서버가
해킹당해도 패스키 자체의 인증 정보는 유출되지 않습니다. 제가 직접 사용해보니
계정에 패스키를 추가하는 과정도 매우 간단했습니다. 몇 번의 터치만으로 기기가
계정의 고유한 암호화 패스키 쌍을 생성하여 iCloud 키체인에 저장했고, 이
패스키는 맥북과 아이패드 등 제가 쓰는 모든 애플 기기에서 자동으로
동기화되었습니다.
패스키는 FIDO 얼라이언스가 주도하는 WebAuthn(Web Authentication) 표준을
기반으로 구축되었습니다. WebAuthn이란 웹 브라우저와 웹사이트가 공개키 암호화를
통해 안전하게 사용자를 인증할 수 있도록 정의한 웹 표준입니다(출처: W3C). 이 표준 덕분에 애플뿐 아니라 구글, 마이크로소프트 등 주요 플랫폼이 모두
패스키를 지원하고 있으며, 서로 다른 생태계 간에도 호환이 가능합니다. 예를 들어
아이폰에 저장된 패스키로 윈도우 PC나 크롬북에서 QR 코드를 스캔해 로그인하는
크로스 플랫폼 인증이 가능합니다. 이 과정에서 두 기기는 로컬 교환을 통해 종단
간 암호화 통신 채널을 구축하고, 물리적으로 가까이 있음을 증명합니다. 이메일로
전송된 QR 코드나 가짜 웹사이트에서 생성된 코드로는 작동하지 않기 때문에 원격
공격자가 통신을 가로챌 수 없습니다. 다시말해 원격 공격이 매우 어렵다고 할 수
있을것 같습니다.
기존 비밀번호 대비 압도적인 보안 강화
패스키가 기존 비밀번호보다 안전한 이유는 크게 세 가지로 정리할 수 있습니다.
-
피싱(Phishing) 불가능 구조: 패스키는 특정 웹사이트나 앱에 고착(Bound)되어
있습니다. 따라서 가짜 피싱 사이트에서 페이스 아이디를 해도 인증 정보가
넘어가지 않는 기술적 안전성을 갖추고 있습니다.
-
서버 유출 리스크 제거: 서버에는 공개키만 저장되고 개인키는 기기에만
보관되므로, 서버가 해킹당해도 공격자가 가져갈 수 있는 유용한 정보가
없습니다.
-
사용자 입장에서 다단계 인증 불필요: 기존 비밀번호는 SMS 인증 코드나 OTP를
추가해도 피싱 공격을 완전히 막을 수 없었지만, 패스키는 기기와 생체 인증이
결합된 구조로 매우 강력한 보호 기능을 제공합니다.
마이크로소프트는 초당 약 7,000건의 비밀번호 공격을 탐지했다고 밝히며 패스키
전환을 적극 추진 중입니다(출처: Microsoft Security Blog). 이는 보안 산업 전체가 비밀번호 없는 인증으로 이동하고 있음을 보여주는
명확한 신호입니다. 제 경험상 이 변화는 단순히 보안성만 높인 게 아니라 사용자
경험 자체를 완전히 바꿔놓았습니다. 기존에는 사용자 이름 입력, 비밀번호 입력,
SMS로 전송된 일회성 인증 코드 입력 등 여러 단계를 거쳐야 로그인할 수
있었습니다. 하지만 패스키를 사용하면 사용자 이름 필드를 클릭했을 때 QuickType
막대에 패스키가 표시되고, 한 번의 터치 ID나 페이스 아이디만으로 즉시
로그인됩니다.
iCloud 키체인 동기화 덕분에 애플 생태계 안에서는 한 기기에서 생성한 패스키가
다른 모든 기기로 종단 간 암호화되어 공유됩니다. 종단 간 암호화(End-to-End
Encryption)란 데이터가 전송되는 동안 오직 송신자와 수신자만 내용을 해독할 수
있고, 중간 서버나 클라우드 제공자조차 접근할 수 없는 암호화 방식을 의미합니다.
즉, 사용자와 서버, 클라우드 모두가 안전한 구조로 설계되어 있습니다. 또한 애플
생태계 에서의 패스키는 여러 사람이 계정을 공유해야 할 경우 AirDrop을 사용해
쉽게 공유할 수 있습니다. 계정 세부 정보에서 패스키 공유 옵션을 통해 신뢰하는
사람들과 안전하게 패스키를 나눌 수 있습니다.
현실적인 도입 과제와 향후 전망
솔직히 패스키는 완벽한 기술이라기보다 비밀번호 시대 이후의 가장 현실적인
대안이라고 생각합니다. 아직 몇 가지 과제가 남아 있기 때문입니다. 첫째, 지원
서비스가 아직 부족합니다. 현재 패스키를 지원하는 사이트는 증가 중이지만, 많은
기업 시스템과 공공 사이트는 여전히 비밀번호 기반으로 접속 인증이 이루어지고
있습니다. 이는 패스키가 아직 도입 초기 단계 기술이라는 인상을 줍니다. 둘째,
생태계 종속 문제가 있습니다. 애플은 iCloud Keychain, 구글은 Google Password
Manager, 마이크로소프트는 Windows Hello 기술을 각각 서비스하고 있습니다. 즉,
패스키는 플랫폼 의존도가 높다고 볼 수 있습니다. 보안 연구에서도 패스키 보안은
플랫폼 제공자에 상당 부분 의존한다고 분석합니다.
셋째, 기기 분실 리스크입니다. 패스키는 기기 기반 인증 구조를 갖추고 있기
때문에 기기를 잃어버리거나 계정을 복구할 때 문제가 발생할 수 있습니다. 물론
클라우드 동기화나 계정 복구 절차로 해결 가능하지만, 이를 위해서는 사용자
교육이 필요합니다. 제가 실제로 써보니 이런 우려에도 불구하고 패스키의 장점이
훨씬 컸습니다. 개발자 관점에서 보면, 패스키를 통합하기 위해 완전히 새로운
인터페이스를 디자인할 필요가 없습니다. 기존 사용자 이름 필드를 활용하여 자동
완성 기능을 통해 패스키를 제공하는 것이 주된 방식이며, 이는 사용자가 익숙한
인터페이스에서 원활하게 패스키를 사용할 수 있도록 합니다.
애플 플랫폼 앱에서는 AuthenticationServices 프레임워크의 ASAuthorization API를
통해 패스키를 통합할 수 있습니다. 앱에서 패스키를 사용하려면 webcredentials
서비스를 사용하여 관련 도메인을 설정하고, 사용자 이름 필드에 username
textContentType을 지정해야 합니다. 이를 통해 시스템은 QuickType 막대에 패스키
제안을 제공할 위치를 파악합니다. 웹 플랫폼에서는 사용자 이름 필드를 사용자
이름 및 WebAuthn 자동 완성 세부 정보 태그로 주석 처리하고, JavaScript에서
WebAuthn API를 사용하여 요청을 시작합니다. 이때 mediation: "conditional"
파라미터를 추가하면 자동 완성 스타일의 요청을 호출할 수 있습니다. WebAuthn을
사용할 때는 userVerification: "preferred" 기본값을 항상 사용해야 합니다. 이는
생체 인식이 없는 기기에서도 나쁜 경험을 초래하지 않도록 보장합니다.
현재 흐름을 보면 애플, 구글, 마이크로소프트 모두 패스키 기술을 채택했으며,
보안 산업 전체가 비밀번호 없는 인증으로 이동 중입니다. 개인적으로는 이 기술이
완전히 정착하려면 2~3년 정도 더 걸릴 것으로 보이지만, 방향성만큼은 명확합니다.
서버 백엔드에서 WebAuthn을 채택하고, 앱과 웹사이트에서 새로운 API를 통합하며,
사용자가 암호에서 패스키로 전환하도록 유도하는 것이 핵심입니다. 저는 이미 주요
계정 대부분을 패스키로 전환했고, 이전처럼 비밀번호를 잊어버려 당황하는 일이
사라졌습니다.
패스키는 단순히 편리함을 넘어 보안 체계 자체를 근본적으로 바꾸는 기술입니다.
비밀번호를 외우고, 관리하고, 주기적으로 바꾸던 시대는 이제 서서히 막을 내리고
있습니다. 앞으로 더 많은 서비스가 패스키를 지원하고, 사용자 교육이 확산되면
비밀번호 없는 인증이 새로운 표준이 될 것입니다. 지금이 바로 패스키를 경험하고
익숙해질 적기라고 생각합니다.
--- 참고:
https://www.youtube.com/watch?v=7MZyAjlVT8I
https://developer.apple.com/kr
https://www.microsoft.com/en-us/security/blog
