비밀번호 대신 패스키(passkey)가 왜 안전한가

최근 구글이나 애플 계정 설정을 확인하다 보면 '패스키(Passkey)'라는 생소한 단어를 접하게 됩니다. "내 비밀번호를 누군가 알고 있는데 패스키는 안전할까?" 혹은 "iCloud 키체인에 저장됐다는데 이게 정확히 어디에 있는 걸까?" 같은 궁금증이 생깁니다. 패스키의 작동 원리와 피싱 방지 기술, iCloud 키체인과 구글 비밀번호 관리자의 차이점을 상세히 알아봅니다.

패스키란 무엇인가?

패스키는 기존의 복잡한 비밀번호를 대신하여 지문, 얼굴 인식(FaceID), 또는 기기 화면 잠금 비밀번호(PIN)를 이용해 안전하게 로그인할 수 있는 차세대 인증 방식입니다. 애플(iCloud 키체인)이나 구글(비밀번호 관리자) 같은 서비스에 저장되어, 마치 열쇠 꾸러미처럼 사용자의 기기 속에 안전하게 보관됩니다. 설명에 "iCloud 키체인"이라고 표시된다면, 해당 패스키는 애플 기기(iPhone, Mac 등)의 보안 칩셋에 생성되어 사용자의 iCloud 계정을 통해 모든 애플 기기에서 동기화되도록 설정된 것입니다.

패스키가 피싱 사이트를 원천 차단하는 원리

패스키가 기존 비밀번호보다 압도적으로 안전한 이유는 피싱 방지 능력 때문입니다.

• 웹사이트와 키의 결합: 패스키는 생성 시점에 해당 사이트의 실제 도메인(예: google.com) 정보를 키 내부에 각인합니다.
• 자동 거부 시스템: 사용자가 실수로 주소가 교묘하게 바뀐 피싱 사이트(go0gle.com)에 접속하더라도, 기기는 도메인이 다르다는 것을 즉시 알아챕니다. 접속한 사이트가 패스키에 내장된 정보와 다르면 기기 내부에 보관된 패스키를 아예 꺼내지 않기 때문에, 사용자의 인증 정보가 유출될 가능성이 원천 차단됩니다.

서버 해킹에도 끄떡없는 비대칭 암호화 구조

패스키는 공개키(Public Key)와 비밀키(Private Key) 쌍을 사용합니다.

• 비밀키: 오직 패스키를 생성한 사용자의 기기 보안 영역에만 저장되며 절대 외부로 나가지 않습니다.
• 공개키: 구글이나 애플 같은 서비스 서버에 저장됩니다.
• 인증 과정: 로그인 시 서버가 보낸 '무작위 숫자'에 기기 속 비밀키로 '디지털 서명'(암호화)을 해서 보냅니다. 서버는 가지고 있는 공개키로 이 서명을 복호화 해서 자신이 보낸 '무작위 숫자'와 맞으면 인증에 성공합니다. 이 방식 덕분에 구글이나 애플 같은 서비스 서버가 통째로 해킹당해 공개키가 유출되더라도, 해커는 사용자의 기기 안에 있는 비밀키를 알 수 없으므로 계정에 접속할 수 없습니다.

저장 위치와 관리 방식의 차이

구글 계정 보안 설정에서 "iCloud 키체인"과 "Google 비밀번호 관리자"가 동시에 보인다면, 다른 플랫폼(애플과 구글)에서 각각 패스키를 생성했기 때문입니다. 이때 방식 별로 비밀키의 위치는 다릅니다.

• iCloud 키체인: 애플 기기의 보안 칩셋에 저장되며, iCloud를 통해 사용자의 다른 애플 기기(iPad, Mac 등)로 종단간 암호화되어 동기화됩니다.
• Google 비밀번호 관리자: 안드로이드 기기나 크롬 브라우저를 통해 생성되면 Windows 보안저장소(TPM)나 안드로이드 하드웨어 보안모듈(TEE)에 저장되고, 구글 계정을 통해 동기화됩니다. 두 패스키는 완전히 다른 독립적인 키 쌍입니다. 각각 생성될 때 고유한 비밀키를 가지므로, 설령 하나가 유출되더라도 다른 하나에는 영향을 주지 않습니다.

Q. 서로 다른 기기에서 사용할 수 있나요? 네, 가능합니다. 예를 들어 Windows PC에서 로그인할 때 "iCloud 키체인"에 저장된 패스키를 사용하고 싶다면, 화면에 뜨는 QR 코드를 iPhone으로 스캔하여 본인 인증을 완료하면 됩니다.

비밀번호나 백업 코드가 유출되었다면?

과거의 비밀번호나 백업 코드를 타인이 알고 있더라도 이미 생성된 패스키는 여전히 안전합니다.

• 패스키는 비밀번호와 별개로 동작하는 독립적인 인증 수단입니다.
• 공격자가 패스키를 사용하려면 사용자의 물리적인 기기를 손에 넣고 생체 인증(지문/얼굴)까지 통과해야 합니다.
• 계정 비밀번호를 변경하고 백업 코드를 삭제했다면 이전 유출 정보는 무용지물이 되므로, 현재 설정된 패스키를 안심하고 사용하셔도 됩니다.

(끝)