패스키란 무엇인가요? 비밀번호 대신 쓰는 로그인 방법

AI를 활용하여 생성한 이미지입니다.

패스키는 비밀번호를 입력하는 대신 휴대폰이나 컴퓨터의 화면 잠금, 지문, 얼굴 인식, PIN으로 로그인하는 자격 증명입니다. 비밀번호를 외우는 부담과 가짜 로그인 페이지에 비밀번호를 입력할 위험을 줄일 수 있지만, 모든 서비스가 지원하는 것은 아니며 기기 분실에 대비한 복구 수단은 여전히 필요합니다.[1][2][3][4]

패스키가 비밀번호와 다른 점

패스키(passkey)는 WebAuthn 표준을 기반으로 서비스별 키 쌍을 만들어 사용하는 로그인 방법입니다. 가입 또는 보안 설정에서 패스키를 만들면 서비스에는 공개 키가 등록되고, 실제 로그인에 필요한 개인 키는 사용자의 기기나 동기화된 자격 증명 저장소에 남습니다. Apple은 서버가 개인 키를 알지 못하는 구조라고 설명합니다.[2]

로그인할 때 웹사이트에 비밀번호 문자열을 보내는 대신, 운영체제와 브라우저가 해당 서비스에 맞는 패스키 사용을 요청하고 사용자가 기기 잠금을 해제합니다. Google은 지문, 얼굴 스캔, 휴대폰 화면 잠금을 사용할 수 있다고 안내합니다.[1] 생체 정보 자체가 웹사이트로 전송되는 방식이 아니라 기기에서 사용 승인을 하는 방식이라는 점도 비밀번호 로그인과 다릅니다.

피싱에 강하지만 무조건 안전한 것은 아니에요

비밀번호는 가짜 로그인 화면에 직접 입력하면 공격자에게 넘어갈 수 있습니다. 패스키는 서비스마다 다른 자격 증명을 사용하고, 브라우저와 운영체제가 서비스 주소와 맞는 자격 증명을 찾도록 처리하므로 같은 방식으로 비밀번호를 빼내기 어렵습니다. Microsoft도 Windows Hello의 생체 인증이나 PIN으로 개인 키를 잠금 해제하는 구조가 피싱 저항성을 높인다고 설명합니다.[3]

그렇다고 패스키가 모든 계정 공격을 막는다는 뜻은 아닙니다. 공격자는 계정 복구를 유도하는 메시지, 새 기기 등록 알림, 악성 앱 설치를 이용할 수 있습니다. 로그인 알림이 예상하지 않은 시간에 오면 승인하지 말고 서비스의 공식 주소를 직접 열어 계정 활동과 등록 기기를 확인하세요. 화면 잠금과 운영체제 업데이트도 계속 유지해야 합니다.

처음 만들기 전 준비

1. 패스키를 추가할 서비스의 주소를 검색 결과가 아니라 주소창에서 확인합니다.
2. 휴대폰이나 컴퓨터에 화면 잠금이 설정되어 있는지 확인합니다.
3. 계정의 복구 이메일과 전화번호가 현재 사용하는 정보인지 확인합니다.
4. 공용 PC나 다른 가족이 함께 쓰는 기기에는 패스키를 저장할지 신중하게 결정합니다.
5. 기기를 바꿀 계획이 있다면 패스키가 같은 계정으로 동기화되는지, 별도 이전이 필요한지 서비스와 운영체제 안내를 확인합니다.

설정은 보통 계정의 보안 또는 로그인 설정에서 패스키 추가를 선택하는 순서로 진행됩니다. 서비스마다 버튼 이름은 다를 수 있습니다. 등록을 마친 뒤에는 로그아웃하고 다시 로그인해 패스키 선택 화면이 나타나는지 확인하세요. 확인 과정에서 기존 비밀번호나 복구 수단을 삭제할 필요는 없습니다.

기기별 사용 방법

Android와 Google 계정

Google 계정 보안 설정에서 패스키를 추가한 뒤 화면 잠금이나 생체 인증으로 승인할 수 있습니다. 다른 컴퓨터에서 로그인할 때 휴대폰으로 QR 코드를 스캔하는 방법도 Google 도움말에 안내되어 있습니다.[1] QR 코드를 이용할 때는 컴퓨터 화면이 내가 연 공식 로그인 페이지인지 먼저 확인하세요.

iPhone, iPad, Mac

Apple 기기에서는 iCloud 키체인에 저장된 패스키를 사용할 수 있고 Touch ID나 Face ID로 사용을 승인할 수 있습니다. Apple은 Apple 기기 사이에서 패스키를 사용하고, 가까이 있는 다른 기기에서도 로그인할 수 있다고 설명합니다.[2] 운영체제 버전에 따라 메뉴가 달라질 수 있으므로 실제 서비스의 패스키 추가 화면도 함께 확인해야 합니다.

Windows PC

Windows에서는 Windows Hello의 지문, 얼굴 인식 또는 PIN을 사용합니다. Microsoft는 Windows 11 버전 22H2와 KB5030310부터 패스키를 관리하는 기본 환경을 안내하고 있습니다.[3] 지원 여부는 PC의 보안 하드웨어와 서비스 정책에 따라 다를 수 있으므로, 로그인 화면에서 제공되는 옵션을 기준으로 판단하세요.

기기 사이를 오갈 때 확인할 점

패스키가 여러 기기에 동기화되는 방식과 한 기기에만 저장되는 방식은 사용 경험이 다릅니다. 동기화되는 자격 증명은 새 기기에서 로그인하기 편하지만, 같은 계정으로 연결된 기기 목록을 정기적으로 확인해야 합니다. 한 기기에만 저장하는 방식은 기기 밖으로 자격 증명이 넓게 퍼지지 않는 대신, 그 기기를 잃었을 때 복구 절차에 더 의존하게 됩니다. 서비스와 운영체제가 제공하는 저장 위치를 확인하고, 편의성과 분실 대응 중 어느 쪽을 우선할지 정하세요.

다른 컴퓨터에서 QR 코드로 로그인할 때는 가까이 있는 휴대폰이 실제로 인증 요청을 승인하는지 확인하세요. 공공장소에서 모니터에 표시된 QR 코드를 스캔하거나, 낯선 사람이 보낸 로그인 링크를 통해 패스키를 등록하는 것은 피하는 편이 좋습니다. 패스키 등록은 로그인보다 계정에 오래 남는 변경이므로 등록 알림과 기기 이름도 기록해 두면 나중에 정리하기 쉽습니다.

기기를 잃어버리거나 바꿀 때

휴대폰을 잃어버렸다면 먼저 다른 기기에서 계정에 로그인해 등록된 기기와 최근 보안 활동을 확인합니다. 잃어버린 기기의 원격 잠금이나 초기화, 패스키 제거가 가능한지도 서비스와 운영체제의 공식 절차를 따르세요. 패스키가 여러 기기에 동기화된 경우에도 잃어버린 기기를 계정에서 제거하는 작업은 별도로 필요할 수 있습니다.

반대로 패스키가 한 기기에만 저장되어 있고 그 기기를 사용할 수 없다면 계정 복구 절차를 거쳐야 합니다. 복구 이메일과 전화번호를 최신 상태로 유지하고, 긴급 상황에서 사용할 다른 로그인 방법이 있는지 미리 확인하는 편이 좋습니다. 패스키를 만들었다고 해서 기존 인증 방식이 자동으로 사라지는 것은 아닙니다.[1]

자주 묻는 질문

패스키를 만들면 비밀번호를 지워도 되나요?

대부분의 서비스에서는 바로 지우지 않는 편이 안전합니다. 패스키를 지원하지 않는 환경이나 복구 상황에서 기존 로그인 방법이 필요할 수 있습니다. 서비스가 비밀번호 없는 로그인 전환을 별도로 제공할 때만 그 절차와 복구 방식을 확인한 뒤 결정하세요.

지문이나 얼굴 정보가 서비스에 저장되나요?

Google은 패스키 사용에 쓰는 생체 정보가 기기에 남고 Google과 공유되지 않는다고 설명합니다.[1] Apple도 기기가 개인 키 사용을 승인하는 구조로 설명합니다.[2] 다만 기기 제조사와 서비스의 개인정보 안내는 각각 읽어야 하며, 생체 정보와 별개로 계정 활동 기록은 서비스에 남을 수 있습니다.

패스키와 2단계 인증은 같은가요?

같은 개념은 아닙니다. 2단계 인증은 비밀번호에 추가 확인을 붙이는 방식이고, 패스키는 비밀번호를 대신해 기기와 사용자 확인을 함께 사용하는 로그인 수단입니다. 계정 보안 화면에서 패스키가 단독 로그인 수단인지 추가 인증 수단인지 확인하세요.

가족이 함께 쓰는 기기에 저장해도 되나요?

기기 잠금을 풀 수 있는 사람이 패스키를 사용할 가능성이 있으므로 개인 기기 사용을 우선하세요. 회사나 공용 기기라면 계정의 등록 정책과 기기 관리자가 패스키를 삭제할 수 있는지 확인한 뒤 등록 여부를 결정하는 편이 안전합니다.

정리

패스키는 비밀번호 재사용과 피싱 입력을 줄이는 실용적인 로그인 방법입니다. 자주 쓰는 계정 한 곳에서 먼저 설정하고, 다른 기기 로그인, 복구 이메일, 분실 기기 처리까지 확인한 뒤 범위를 넓히면 됩니다. 지원하지 않는 서비스에는 사이트마다 다른 긴 비밀번호와 2단계 인증을 적용하세요.

Sources

1. [1] Google 지원 문서 — 문서 ID 13548313
2. [2] Apple 지원 문서 — 102195
3. [3] Microsoft Learn — passkeys
4. [4] W3C — Web Authentication: An API for accessing Public Key Credentials Level 3