패스키(Passkey) 정의와 장점. 패스워드리스로 패스워드 문제점 해결

패스키(Passkey)란? 패스키는 패스워드리스(Passwordless), 패스워드 없이 인증 혹은 로그인할 수 있는 기술이다. "사용자가 기기의 잠금을 해제하는 것"과 동일한 방식, 즉 생체 인증(얼굴인식 혹은 지문)이나 패턴 인증, PIN번호 인증을 이용해서 로그인이 가능하다. FIDO(Fast Identity Online) alliance와 W3C(World Wide Web Consortium)이 공동 개발했으며 구글, 애플, Microsoft, 삼성, SK Telecom 등이 참여하고 있다. 

 

아래는 패스키 교육과 실행 지침 등이 명기된 패스키 센트럴 홈페이지. 패스키의 정의가 잘 나와있다. (FIDO alliance 제공)  

https://www.passkeycentral.org/ko/introduction-to-passkeys/

패스키 소개 | Passkey Central

 

Passkey는 Password의 문제점 들을 해결하기 위해 태어났다. 기존 Password 방식은 아래와 같은 문제점들을 가지고 있다.   

문제가 많은 아이디 패스워드 로그인 방식

 

1. 기억하기가 매우 어렵다. 그래서 성공율이 낮다. 비밀번호 입력해서 로그인하는 것이 얼마나 신경 곤두서는 일인지 잘 아실 것. 

 

2. 그래서 많은 사용자들이 모든 사이트에 동일한 ID, Password를 사용한다. 그래서 유출되는 경우 치명적이다.  

 

3. 크리덴셜 스터핑(Credential Stuffing) 같은 사이버 공격에 매우 취약하다. 유출된 ID, Password의 주인이 사용할만한 사이트에 대입하면 상당히 높은 확률로 접속에 성공할 수 있다. 

 

4. 번거로운 Password 입력 과정. UX(User Experience)를 저하시킨다. 

로그인할 때마다 Password의 문자, 숫자, 특수기호를 입력하는 것은 매우 귀찮고 번거로운 일이다. 잘못 입력하는 경우도 다반사고 잊어버리기라도 한 날에는 복잡한 인증을 포함한 비밀번호 찾기 과정을 거쳐야 한다.  

 

2025.04.12 - [에디의 소소한 IT] - 크리덴셜 스터핑(Credential Stuffing). 패스키(Passkey) 필요성 부각

크리덴셜 스터핑(Credential Stuffing). 패스키(Passkey) 필요성 부각

 

반면에! 패스키는 아래와 같은 장점을 지닌다. 

 

1. Passwordless. 즉 패스워드를 쓰지 않기 때문에 기억할 필요가 없다. 

 

2. 서비스별로 키(key)가 모두 다르다.

패스키는 서비스별로 완전히 다른 개인키+공개키 조합을 자동 생성한다. 따라서 패스워드처럼 모든 웹사이트에 동일한 ID, Password가 사용될 일이 없다.    

사이트별로 전혀 다른 개인키 공개키 조합을 만든다. 개인키는 개인 단말에 저장, 공개키는 서버에 저장한다.

 

 

3. 개인키(Private Key)는 사용자 기기에만 저장되고 공개키는 서비스에 저장된다. 개인키가 서버에 저장되지 않기 때문에 크리덴셜 스터핑 같은 공격으로 유출될 염려가 없다. 서버에 저장되는 것은 오직 공개키(Public Key)이다. 공개키는 유출되더라도 상관없다. "PKI(Public Key Infrastructure) 인증 방식"에서 공개키만으로는 인증 혹은 로그인할 수 없다. 

 

4. 인증 혹은 로그인과정의 UX가 매우 편하고 쉽다.  

기기 잠금을 해제하는 것과 동일한 방식, 즉 생체(얼굴인식 혹은 지문)이나 패턴 인증, PIN번호 인증을 이용해서 인증 혹은 로그인하기 때문에 매우 쉽고 익숙한 UX를 제공한다. 

 

아래는 패스키를 사용해서 네이버에 로그인하는 모습이다. 패스키가 얼마나 쉽고 편리한 UX를 제공하는지 확인해보시라. 

 

1. 아이디 패스워드 입력하느라 조그만 자판으로 끙끙댈 필요 없다.

2. 비밀번호를 기억하지 못해 찾느라 여기저기 인증 받지 않아도 된다. 

3. 지문인증 하나로 바로 로그인이 가능하다. (기기 잠금을 얼굴 인식으로 했다면 얼굴 인식, 패턴이나 PIN으로 했다면 패턴 인증이나 PIN 인증으로 하면 된다.)   

너무도 편하고 쉬운 UX. 패스키 지문인증 로그인

 

 

요즘 은행 앱 로그인할 때 아이디 패스워드 치고 들어가는 사람 아무도 없다. 많은 사람들이 지문인증이나 패턴, PIN 인증을 사용한다. 은행들이 왜 도입했냐고? 사용자들에게 편리한 UX를 제공하고 보안적으로도 우수하니까. 

 

이제는 일반 사이트들도 지문, 패턴, PIN 인증을 통한 로그인 방식을 쉽게 도입할 수 있게 되었다. 패스키를 도입하면 된다.