비밀번호를 몇 번 틀려서 재설정 메일을 기다린 적이 있다면, 요즘 로그인 화면에 보이는 패스키(Passkey)로 로그인 버튼이 궁금했을 겁니다. 이 글은 패스키가 어떤 원리로 작동하는지 비전공자도 이해할 수 있게 풀고, 비밀번호나 문자 인증보다 피싱과 유출에 강한 이유를 설명합니다. 이어서 스마트폰과 PC에서 패스키를 등록하고 관리하는 방법, 기기를 잃어버렸을 때의 대처법과 주의할 점을 정리합니다.
패스키란 무엇인가: 외우는 비밀 대신 기기가 가진 열쇠
패스키는 비밀번호를 대신하는 로그인 방식입니다. FIDO 얼라이언스라는 업계 단체가 만든 표준(FIDO2, WebAuthn)을 바탕으로 하며, 주요 운영체제와 브라우저, 여러 웹사이트가 이를 지원하고 있습니다. 그래서 흔히 패스워드리스(passwordless), 즉 비밀번호 없는 로그인이라고 부릅니다.
사용자 입장에서는 간단합니다. 로그인할 때 비밀번호를 입력하는 대신 스마트폰이나 노트북에서 지문, 얼굴 인식, 또는 기기 잠금 PIN으로 본인 확인을 하면 끝입니다. 여기서 중요한 점은 지문이나 얼굴 정보가 웹사이트로 전송되지 않는다는 것입니다. 생체 인증은 내 기기 안에서 "지금 주인이 맞다"는 것을 확인하는 잠금장치일 뿐이고, 실제 로그인은 기기 안에 보관된 열쇠가 처리합니다.
작동 원리: 자물쇠는 서버에, 열쇠는 내 기기에
패스키의 핵심은 공개키 인증 방식입니다. 이름이 어렵지만 자물쇠와 열쇠에 비유하면 이해가 쉽습니다.
- 공개키는 자물쇠입니다. 누구에게 보여 줘도 괜찮습니다. 자물쇠만으로는 아무것도 열 수 없기 때문입니다.
- 개인키는 그 자물쇠에 맞는 유일한 열쇠입니다. 이것은 절대 밖으로 나가지 않고 내 기기 안에만 보관됩니다.
등록할 때 일어나는 일
- 웹사이트에서 패스키 만들기를 누르면, 내 기기가 그 사이트 전용으로 공개키와 개인키 한 쌍을 새로 만듭니다.
- 공개키(자물쇠)만 웹사이트 서버로 보내고, 개인키(열쇠)는 기기의 안전한 저장 공간에 보관합니다.
- 이 열쇠 쌍은 해당 사이트 주소에 묶여 있어서 다른 사이트에서는 쓸 수 없습니다.
로그인할 때 일어나는 일
- 서버가 매번 새로 만든 무작위 문제(챌린지)를 보냅니다.
- 내 기기는 지문이나 얼굴, PIN으로 주인을 확인한 뒤, 개인키로 그 문제에 서명합니다.
- 서버는 저장해 둔 공개키로 서명이 맞는지 검사합니다. 맞으면 로그인이 완료됩니다.
이 과정에서 개인키 자체는 한 번도 전송되지 않습니다. 서버가 받는 것은 "이번 문제에 대한 정답 서명"뿐이고, 문제는 매번 달라지니 누군가 이 서명을 엿보더라도 다음 로그인에 재사용할 수 없습니다.
비밀번호와 문자 인증보다 안전한 이유
기존 방식의 약점을 떠올리면 패스키의 장점이 분명해집니다.
서버가 털려도 쓸 게 없다
비밀번호 방식에서는 서버가 비밀번호(보통은 변환된 값)를 보관합니다. 서버가 해킹되면 이 정보가 유출되고, 같은 비밀번호를 여러 곳에 쓰는 사람은 연쇄적으로 피해를 입습니다. 패스키 방식에서 서버가 가진 것은 공개키, 즉 자물쇠뿐입니다. 자물쇠를 훔쳐도 열쇠를 만들 수는 없으니 유출의 의미가 크게 줄어듭니다.
가짜 사이트에는 열쇠가 반응하지 않는다
피싱은 진짜와 똑같이 생긴 가짜 사이트로 비밀번호를 입력하게 만드는 수법입니다. 사람 눈은 주소 한 글자 차이를 놓치기 쉽지만, 패스키는 등록된 사이트 주소를 기기와 브라우저가 직접 확인합니다. 주소가 다르면 애초에 해당 패스키가 제시되지 않습니다. 사용자가 속더라도 기술적으로 열쇠를 넘겨줄 수 없는 구조라는 점에서 피싱 방지 효과가 큽니다.
문자 인증의 빈틈도 줄어든다
문자로 받는 인증번호는 비밀번호보다 낫지만, 가짜 사이트에 인증번호까지 입력하게 유도하거나 휴대폰 번호를 가로채는 수법에는 취약할 수 있습니다. 패스키는 사람이 옮겨 적는 코드가 없기 때문에 이런 중간 가로채기 공격의 여지가 줄어듭니다.
물론 패스키가 모든 위험을 없애 주지는 않습니다. 기기 자체가 악성 앱에 감염되었거나, 기기 잠금이 허술하다면 다른 위험이 남습니다. 패스키는 강력한 자물쇠이지만 집 전체의 보안은 여전히 사용자 습관에 달려 있습니다.
개념을 한 번 더 정리하고 싶다면 아래 영상을 함께 보면 좋습니다. 11번가 TechTalk 채널에 올라온 김용우 님의 발표로, 제목처럼 패스워드리스 흐름 속에서 왜 패스키가 주목받는지를 다루는 자료입니다. 서비스를 만드는 개발자 관점의 이야기가 궁금한 분께 특히 참고가 될 것입니다.
스마트폰과 PC에서 패스키 등록하고 관리하기
운영체제와 앱 버전에 따라 메뉴 이름과 위치가 조금씩 다를 수 있으니, 아래는 일반적인 흐름으로 참고하세요.
공통 준비
- 기기에 화면 잠금(PIN, 패턴, 비밀번호)과 생체 인증을 먼저 설정합니다. 패스키는 기기 잠금을 본인 확인 수단으로 사용합니다.
- 운영체제와 브라우저를 최신 버전으로 업데이트합니다.
- 패스키를 동기화해 줄 계정(애플 계정, 구글 계정, 또는 사용 중인 비밀번호 관리자)에 로그인되어 있는지 확인합니다.
아이폰·아이패드·맥
애플 기기에서는 패스키가 iCloud 키체인(비밀번호 관리 기능)에 저장되고, 같은 애플 계정을 쓰는 기기끼리 동기화됩니다. 설정에서 iCloud 키체인이 켜져 있는지 확인한 뒤, 패스키를 지원하는 사이트나 앱의 보안 설정에서 패스키 만들기를 선택하고 Face ID나 Touch ID로 승인하면 됩니다. 저장된 패스키는 설정 또는 암호 관련 앱에서 확인하고 삭제할 수 있습니다.
안드로이드
안드로이드에서는 주로 구글 비밀번호 관리자에 패스키가 저장되며, 같은 구글 계정으로 로그인한 기기에서 사용할 수 있습니다. 구글 계정 자체도 보안 설정에서 패스키를 만들 수 있으니, 가장 중요한 계정부터 시작해 보는 것을 권합니다. 삼성 패스처럼 제조사 서비스에 저장하는 선택지가 나타나기도 하니, 어디에 저장되는지 확인하고 고르세요.
윈도우 PC
윈도우에서는 Windows Hello(얼굴, 지문, PIN)를 이용해 패스키를 만들 수 있습니다. 다만 저장 위치와 동기화 지원 여부는 윈도우 버전과 사용하는 브라우저에 따라 다를 수 있습니다. PC에 생체 인증 장치가 없다면, 로그인 화면에서 다른 기기 사용 같은 옵션을 골라 화면에 뜬 QR 코드를 스마트폰으로 스캔하는 방식도 있습니다. 이 경우 스마트폰에 저장된 패스키로 PC 로그인을 승인하게 되며, 블루투스로 두 기기가 가까이 있는지 확인하는 절차가 함께 진행됩니다.
관리 요령
- 사이트마다 여러 개의 패스키를 등록할 수 있다면, 서로 다른 생태계(예: 스마트폰 하나와 PC 하나)에 하나씩 만들어 두면 안전합니다.
- 1Password, Bitwarden처럼 패스키를 지원하는 비밀번호 관리자를 쓰면 애플·구글·윈도우를 넘나들며 사용하기 편해질 수 있습니다.
- 더 이상 쓰지 않는 기기의 패스키는 해당 사이트의 보안 설정에서 삭제합니다.
기기를 잃어버렸을 때와 꼭 알아둘 주의점
패스키를 처음 쓰는 사람이 가장 걱정하는 부분이 분실입니다. 미리 준비해 두면 크게 당황할 일은 없습니다.
분실 시 대처 순서
- 다른 기기에서 계정에 접속합니다. 패스키가 클라우드로 동기화되어 있다면 새 기기나 다른 기기에서 그대로 쓸 수 있습니다.
- 애플의 나의 찾기, 구글의 내 기기 찾기 같은 기능으로 분실 기기를 잠그거나 원격 초기화합니다.
- 주요 계정의 보안 설정에서 분실 기기와 연결된 패스키나 로그인 세션을 삭제합니다.
- 동기화 계정(애플·구글 계정)의 비밀번호와 복구 수단도 점검합니다.
기기를 습득한 사람이 있더라도 화면 잠금과 생체 인증을 통과하지 못하면 패스키를 쓸 수 없습니다. 그래서 생일이나 1234 같은 쉬운 PIN은 피해야 합니다.
미리 해 둘 일
- 복구 수단을 최신으로 유지하세요. 복구 이메일, 복구 전화번호, 백업 코드를 확인해 두면 모든 기기를 잃어도 계정을 되찾을 길이 남습니다.
- 동기화 계정이 사실상 마스터 열쇠라는 점을 기억하세요. 애플 계정이나 구글 계정만큼은 2단계 인증을 확실히 걸어 두어야 합니다.
- 패스키를 등록했다고 해서 기존 비밀번호가 자동으로 사라지지 않는 사이트가 많습니다. 비밀번호가 남아 있다면 그 비밀번호도 충분히 강력하고 다른 곳과 겹치지 않게 관리하세요.
- 공용 PC나 남의 기기에서는 패스키를 만들지 마세요. 필요하다면 QR 코드로 내 스마트폰을 이용해 로그인하는 편이 낫습니다.
패스키의 안전은 결국 내 기기 잠금과 동기화 계정의 안전 위에 서 있습니다.
오늘 시작해 볼 작은 한 걸음
모든 계정을 한꺼번에 바꿀 필요는 없습니다. 가장 자주 쓰고 가장 중요한 계정, 예를 들어 이메일이나 구글·애플 계정부터 패스키를 하나 등록해 보세요. 한두 번 써 보면 비밀번호를 떠올리는 대신 지문 한 번으로 끝나는 흐름이 금방 익숙해집니다. 그다음 자주 쓰는 쇼핑몰이나 업무 서비스가 패스키를 지원하는지 보안 설정 메뉴에서 확인하고, 하나씩 옮겨 가면 됩니다. 등록이 끝날 때마다 복구 수단이 살아 있는지도 함께 점검해 두면, 편리함과 안전을 동시에 챙길 수 있습니다.
