Passkey란 무엇인가요?
Passkey는 기존 비밀번호 없이 웹사이트와 앱에 로그인하는 새로운 방법입니다. 문자열을 만들고 기억하는 대신, 사용자의 기기 — 스마트폰, 노트북, 또는 태블릿 — 가 사용자의 신원을 증명하는 고유한 암호화 키 쌍을 생성합니다. 지문 인식, 얼굴 인식, 또는 PIN과 같이 기기에 이미 내장된 수단을 통해 인증이 이루어집니다. 웹사이트는 실제 비밀 정보를 전혀 확인하지 않으며, 사용자가 올바른 본인임을 증명하는 암호화 증명만을 수신합니다.
Passkey는 FIDO2 및 WebAuthn 개방형 표준을 기반으로 구축되어 있어, Apple, Google, Microsoft 생태계를 포함한 주요 플랫폼에서 작동합니다. Google, Apple, GitHub, PayPal 등 주요 서비스들은 이미 passkey를 지원하고 있으며, 도입이 빠르게 확산되고 있습니다.
Passkey는 어떻게 작동하나요?
모든 passkey는 수학적으로 연결된 두 개의 키로 구성됩니다: 공개 키(public key)와 개인 키(private key)입니다.
- 공개 키는 로그인하려는 웹사이트 또는 앱의 서버에 저장됩니다.
- 개인 키는 절대 기기 밖으로 나가지 않으며, 생체 인식 또는 기기 PIN으로 잠겨 있습니다.
로그인 시, 서버는 기기에 챌린지(challenge) — 본질적으로 무작위 데이터 조각 — 를 전송합니다. 기기는 개인 키를 사용하여 해당 챌린지에 서명하고 서명값을 돌려보냅니다. 서버는 공개 키를 기준으로 서명을 검증하고, 일치하면 접근이 허용됩니다.
비밀번호는 전송되거나, 서버에 저장되거나, 노출되는 일이 전혀 없습니다. 웹사이트의 데이터베이스가 침해되더라도 공격자는 공개 키만 얻게 되며, 이는 단독으로는 아무런 쓸모가 없습니다.
VPN 사용자에게 Passkey가 중요한 이유
VPN 사용자는 일반 인터넷 사용자보다 보안에 더 민감한 경향이 있으며, passkey는 VPN 사용자들이 스스로를 보호하려는 가장 일반적인 위협들을 직접적으로 해결합니다.
피싱 저항성: 기존 비밀번호는 가짜 로그인 페이지를 통해 탈취될 수 있습니다. Passkey는 특정 도메인에 암호화적으로 결합되어 있기 때문에, 아무리 정교하게 만든 가짜 웹사이트도 기기로부터 자격 증명을 빼낼 수 없습니다. 이는 passkey가 제공하는 가장 큰 실질적인 보안 이점 중 하나입니다.
크리덴셜 스터핑(credential stuffing) 위험 없음: 재사용 가능한 비밀번호가 존재하지 않기 때문에, 유출된 아이디/비밀번호 조합을 여러 서비스에 대입하는 크리덴셜 스터핑 공격은 passkey로 보호된 계정에 통하지 않습니다.
VPN 계정 자체 보호: 많은 VPN 제공업체들이 계정 로그인에 passkey 지원을 도입하기 시작하고 있습니다. VPN 계정이 passkey로 보호되고 있다면, 다른 침해 사고를 통해 이메일과 비밀번호를 입수한 공격자도 로그인하거나, 구독을 변경하거나, 계정 설정에 접근할 수 없습니다.
제로 트러스트(zero-trust) 보안과의 호환성: 기업 VPN 사용자와 원격 근무자를 위해, passkey는 리소스 접근 권한을 부여하기 전에 강력하고 피싱에 강한 신원 확인을 제공함으로써 제로 트러스트 네트워크 접근 모델을 보완합니다.
실제 사용 예시 및 활용 사례
- 개인 계정 보안: Google에 접속하여 "Passkey로 로그인"을 탭하면 휴대폰이 지문 인식을 요청합니다. 끝 — 비밀번호가 필요 없습니다.
- 기업 원격 접근: 직원이 업무용 노트북의 passkey를 사용하여 원격 접근 VPN에 인증함으로써, 탈취된 VPN 비밀번호로 인한 무단 접근 위험을 원천 차단합니다.
- 여행 중 보안: 감시 위험이 높거나 공공 Wi-Fi 위험이 있는 지역을 여행할 때, passkey를 사용하면 키로거나 네트워크 스니퍼가 캡처할 비밀번호 자체가 존재하지 않습니다.
- 개발자 및 서버 접근: GitHub와 같은 플랫폼은 passkey를 지원하여 비밀번호 노출 없이 저장소 및 인프라에 대한 접근을 안전하게 보호합니다.
결론
Passkey는 비밀번호 대비 진정한 개선을 나타냅니다 — 더 안전하고, 사용하기 쉬우며, 가장 일반적인 공격 방법에 강한 저항성을 갖습니다. 온라인 개인정보 보호와 보안을 중시하는 모든 사용자에게, 가능한 모든 곳에서 passkey를 활성화하는 것은 지금 당장 취할 수 있는 가장 효과적인 조치 중 하나입니다.