패스키는 비밀번호와 무엇이 다른가

지문으로 로그인한다는 말의 오해

패스키로 로그인하면 지문을 찍거나 얼굴을 비춥니다. 그래서 흔히 이렇게 생각합니다. 내 지문이 그 서비스로 넘어가는구나.

그렇지 않습니다. 표준을 만든 FIDO 얼라이언스는 이 대목을 분명히 해둡니다. 생체 정보와 그 처리는 기기 안에 머물며 원격 서버로 전송되지 않는다고요. 서버가 보는 것은 생체 확인이 성공했다는 사실뿐입니다.

즉 지문은 그 서비스에 로그인하는 열쇠가 아니라, 내 기기의 잠금을 푸는 방법입니다. 잠금이 풀리면 기기가 대신 서명을 해서 보냅니다.

이 구분을 잡아두면 나머지가 쉬워집니다. 서비스마다 지문을 등록하는 게 아니라, 기기 하나만 잠금을 풀면 그 기기가 여러 서비스에 대한 열쇠를 들고 있는 구조입니다.

서버에 무엇이 남나

비밀번호 방식의 근본적인 문제는 서버가 확인에 필요한 값을 갖고 있다는 점입니다. 서버가 털리면 그 값도 함께 털립니다.

패스키는 여기가 다릅니다. FIDO는 이를 공개키 암호 방식이라고 설명하면서, 훔칠 비밀번호가 없고 공격에 재사용될 로그인 데이터도 없다고 적습니다.

쉽게 말하면 열쇠를 둘로 나눠 한쪽만 서버에 맡기는 구조입니다. 서버가 가진 쪽만으로는 로그인할 수 없고, 로그인에 필요한 쪽은 내 기기에서 나가지 않습니다.

그래서 서비스가 해킹당해도 내 계정 열쇠는 그대로입니다. 유출 소식을 듣고 부랴부랴 비밀번호를 바꾸는 일이 사라지는 셈이죠.

열쇠를 둘로 나눈다는 말

공개키 암호라는 말이 어렵게 들리니 비유로 풀어보겠습니다.

비밀번호는 자물쇠와 열쇠가 같은 물건인 구조입니다. 서비스도 그 값을 알아야 맞는지 확인할 수 있으니까요. 그래서 서비스 쪽 금고가 털리면 열쇠도 함께 털립니다.

패스키는 자물쇠와 열쇠를 나눠 갖습니다. 자물쇠에 해당하는 쪽을 서비스에 주고, 여는 쪽은 내 기기가 갖습니다. 자물쇠만 있어서는 열 수 없습니다.

로그인할 때 서비스가 매번 다른 문제를 냅니다. 내 기기가 여는 쪽 열쇠로 답을 만들어 보내면, 서비스는 자물쇠로 그 답이 맞는지만 확인합니다. 열쇠 자체는 오가지 않습니다.

그렇다 보니 통신 도중에 누가 엿들어도 쓸 게 없습니다. 매번 다른 문제에 대한 답이라 다시 쓸 수 없으니까요. 비밀번호를 가로채면 그대로 쓸 수 있는 것과 결정적으로 다른 지점입니다.

어디서부터 켜지나

패스키는 서비스가 지원해야 쓸 수 있습니다. 내가 원한다고 아무 데나 되는 게 아닙니다.

다행히 지원하는 곳이 빠르게 늘고 있습니다. 주요 계정 서비스와 큰 쇼핑몰, 금융 앱들이 차례로 붙이고 있습니다. 로그인 화면이나 계정 보안 설정에 패스키 항목이 보이면 지원하는 겁니다.

만드는 절차는 대체로 짧습니다. 계정 설정에서 패스키 만들기를 누르고, 기기 잠금을 푸는 방식으로 확인하면 끝입니다. 새로 외울 것도 적어둘 것도 없습니다.

다만 처음 만들 때 어디에 저장할지를 묻는 경우가 있습니다. 폰에 저장할지, 다른 기기에 저장할지, 보안 키에 저장할지요. 여기서 고른 곳이 앞으로 그 계정의 열쇠를 들고 있게 되니, 평소에 쓰는 기기를 고르는 게 편합니다.

그리고 공용 컴퓨터에서 로그인해야 할 때가 있습니다. 이때는 대개 폰으로 QR 코드를 찍는 방식이 뜹니다. 열쇠는 폰에 남고 그 컴퓨터에는 아무것도 저장되지 않습니다.

참고로 패스키를 지원하지 않는 서비스가 아직 많습니다. 그런 곳은 여전히 비밀번호와 2단계 인증으로 지켜야 하니, 두 방식이 한동안 함께 갈 거라고 보는 편이 현실적입니다.

가짜 사이트에 속지 않는다

덜 알려졌지만 더 중요한 차이가 이것입니다. FIDO는 패스키를 피싱에 강한 방식이라고 부르는데, 여기엔 구조적인 이유가 있습니다.

패스키는 특정 사이트에 묶여 만들어집니다. 진짜 사이트를 흉내 낸 주소에서는 그 열쇠가 아예 동작하지 않습니다. 비슷하게 생겼든 로고가 똑같든 상관없습니다.

비밀번호는 이게 안 됩니다. 사람이 보고 판단해야 하는데, 주소 한 글자를 바꾼 가짜 사이트를 눈으로 걸러내기는 어렵습니다. 급할 때는 더 그렇고요.

Google도 계정 도움말에서 패스키와 하드웨어 보안 키가 계정을 피싱 공격으로부터 보호한다고 안내합니다.

그러니 패스키의 이점은 편하다는 것보다 사람의 주의력에 기대지 않는다는 데 있습니다. 조심성 없는 날에도 똑같이 동작합니다.

기기를 잃어버리면

가장 많이 나오는 걱정입니다. 기기 안에 열쇠가 있다면 기기를 잃으면 못 들어가는 것 아니냐고요.

여기서 두 종류를 구분해야 합니다. FIDO는 클라우드를 통해 기기 사이에 동기화되는 것을 동기화 패스키, 한 기기를 벗어나지 않는 것을 기기 고정 패스키라고 부릅니다.

대부분의 스마트폰 패스키는 앞쪽입니다. 같은 계정으로 묶인 다른 기기에서도 쓸 수 있으니, 폰을 잃어도 노트북이나 태블릿으로 들어갈 수 있습니다. FIDO도 백업이 되기 때문에 분실에서 더 잘 보호된다고 적습니다.

반대로 보안 키 같은 기기 고정 방식은 그 물건을 잃으면 그 열쇠는 끝입니다. 그래서 보안 키를 쓰는 곳은 대개 두 개를 등록해 두라고 안내합니다.

정리하면 분실 대비는 패스키의 문제가 아니라 백업 수단을 미리 만들어 뒀느냐의 문제입니다. 비밀번호 시절에도 계정 복구 수단이 필요했던 것과 같습니다.

• 패스키를 만들 때 백업 수단을 함께 등록한다
• 동기화되는 계정의 잠금부터 튼튼하게 한다
• 남아 있는 비밀번호가 여전히 약한 고리다

지금 당장 바꿔야 하나

서두를 필요는 없지만, 지원하는 서비스라면 켜두는 편이 낫습니다. 특히 메일 계정처럼 다른 계정의 복구 경로가 되는 곳부터요.

다만 알아둘 게 하나 있습니다. 패스키를 등록해도 기존 비밀번호가 자동으로 없어지지는 않습니다. 두 방법이 함께 열려 있으면 공격하는 쪽은 약한 쪽을 고릅니다.

그러니 패스키를 만든 다음에는 비밀번호 쪽도 정리하는 게 맞습니다. 서비스가 비밀번호를 아예 지울 수 있게 해준다면 지우고, 그렇지 않다면 길고 무작위한 값으로 바꿔 관리자에 넣어둡니다.

그리고 계정 하나가 다른 계정들의 열쇠를 들고 있는 구조라는 점을 잊지 않는 게 좋습니다. 동기화 패스키를 쓰면 그 계정의 안전이 곧 나머지 전부의 안전입니다.

마지막으로 하나. 패스키는 계정을 지키는 방법이지 기기를 지키는 방법이 아닙니다. 폰 잠금이 생일 네 자리라면, 폰을 주운 사람이 그 잠금만 풀면 등록된 계정들에 그대로 들어갑니다.

예전에는 폰을 주워도 각 서비스의 비밀번호를 따로 알아야 했는데, 패스키는 기기 잠금 하나로 이어집니다. 편해진 만큼 그 잠금의 무게가 커진 셈입니다.

그러니 패스키를 쓰기로 했다면 기기 잠금부터 손보는 게 순서입니다. 짧은 숫자 대신 긴 암호나 생체 인식을 쓰고, 잠금 화면에서 알림 내용이 다 보이지 않게 해두는 정도면 충분합니다.

보안 키는 어떤 물건인가

하드웨어 보안 키라는 물건이 패스키와 자주 함께 언급됩니다. 같은 표준 위에 있어서입니다.

FIDO의 설명에 따르면 패스키는 폰이나 컴퓨터에 저장될 수도 있고 하드웨어 보안 키에 저장될 수도 있습니다. USB 포트에 꽂거나 폰에 갖다 대는 작은 물건이 그것입니다.

차이는 앞서 본 구분에 있습니다. 폰에 만든 패스키는 대개 동기화되어 여러 기기에서 쓸 수 있지만, 보안 키에 든 것은 그 물건을 벗어나지 않습니다. FIDO는 이런 것을 기기 고정 패스키라고 부릅니다.

따라서 성격이 갈립니다. 편의는 동기화 쪽이 낫고, 통제는 보안 키 쪽이 낫습니다. 클라우드 계정이 뚫려도 보안 키 안의 열쇠는 영향을 받지 않으니까요.

다만 잃어버리면 끝입니다. 그렇다 보니 보안 키를 쓰는 곳은 대개 두 개를 등록해 하나는 따로 보관하라고 안내합니다. 하나를 늘 갖고 다니고, 하나는 집이나 사무실 서랍에 두는 식으로요.

일반적인 용도라면 폰의 동기화 패스키로 충분합니다. 보안 키는 계정 하나가 뚫렸을 때 손해가 특별히 큰 경우 — 예를 들어 회사 관리자 계정 같은 자리에 어울립니다.

요약하면 패스키는 새로운 개념이라기보다 로그인의 무게 중심을 사람에게서 기기로 옮긴 것에 가깝습니다. 외우고 조심하는 일을 사람이 덜 하게 되는 대신, 기기와 그 잠금이 더 중요해집니다.

그 이동이 이득인지는 상황에 따라 다르지만, 적어도 피싱에 대해서는 분명히 이득입니다. 사람의 주의력은 늘 일정하지 않으니까요.

정리

• 지문과 얼굴 정보는 기기를 벗어나지 않는다고 표준 문서가 밝힌다
• 서버에는 로그인에 쓸 수 있는 값이 남지 않는다
• 패스키는 특정 사이트에 묶여 만들어져 가짜 사이트에서 동작하지 않는다
• 동기화 패스키와 기기 고정 패스키는 분실 대비가 다르다
• 패스키를 만들어도 남아 있는 비밀번호가 약한 고리로 남는다

출처

• FIDO Alliance Passkeys (Passkey Authentication)
• Google 계정 고객센터 2단계 인증 사용