요즘 로그인하다 보면 예전처럼 긴 비밀번호를 입력하는 대신 지문이나 얼굴 인식만으로 끝나는 경우가 부쩍 늘었습니다. 처음에는 그냥 휴대전화 기능이 좋아진 건가 싶었는데, 자세히 보니 패스키라는 새로운 로그인 방식이었습니다.
비밀번호 때문에 한 번쯤 답답했던 기억은 누구나 있을 겁니다. 분명 맞게 입력했다고 생각했는데 계속 틀렸다고 나오거나, 비밀번호를 새로 만들라는 화면에서 이전에 썼던 비밀번호라고 거절당하면 은근히 짜증이 납니다. 결국 비밀번호 찾기를 눌러 다시 인증하다 보면 로그인 하나 하는 데 시간이 꽤 걸립니다.
패스키가 주목받는 이유는 이런 불편함을 줄이면서 보안까지 높일 수 있기 때문입니다. 처음 접하면 낯설지만 원리는 의외로 어렵지 않습니다. 왜 비밀번호 대신 패스키가 늘어나는지 하나씩 살펴보겠습니다.
비밀번호
비밀번호의 가장 큰 문제는 사람이 직접 기억해야 한다는 점입니다. 가입한 사이트가 몇 개 안 될 때는 괜찮지만 쇼핑몰, 전자우편, 금융 서비스, 동영상 서비스까지 늘어나면 상황이 달라집니다.
사이트마다 다른 비밀번호를 만드는 것이 안전하다는 건 알고 있어도 실제로 실천하기는 쉽지 않습니다. 숫자와 특수문자를 섞어 어렵게 만들면 다음 로그인 때 기억이 나지 않고, 외우기 쉽게 만들면 보안이 걱정됩니다. 그래서 비슷한 비밀번호를 여러 곳에서 반복해서 쓰게 되는 경우가 생깁니다.
문제는 한 곳에서 정보가 새어나갔을 때입니다. 같은 비밀번호를 다른 곳에서도 사용했다면 연달아 계정이 위험해질 수 있습니다. 이 사실을 알고 나면 ‘비밀번호를 잘 만드는 것’만으로 문제를 해결하기 어렵다는 걸 느끼게 됩니다.
패스키는 이 고민을 다른 방향에서 해결합니다. 더 어려운 비밀번호를 만들라고 요구하는 대신 아예 사람이 외워야 하는 비밀을 없애는 쪽을 택했습니다. 이것이 비밀번호 대신 패스키가 등장한 가장 기본적인 이유입니다.
편리함
패스키의 장점은 한 번 사용해 보면 금방 체감됩니다. 비밀번호를 입력하지 않아도 되고, 특수문자를 제대로 넣었는지 다시 확인할 필요도 없습니다. 평소 휴대전화 잠금을 풀듯 지문이나 얼굴을 인식하면 로그인이 끝납니다.
처음에는 오히려 너무 간단해서 조금 불안하게 느껴질 수 있습니다. ‘이렇게 쉽게 들어가도 괜찮은 건가?’라는 생각이 들기도 합니다. 하지만 패스키는 단순히 비밀번호 입력 과정만 생략한 것이 아닙니다. 인증하는 방법 자체가 다릅니다.
내 기기가 본인 여부를 확인하고 그 결과를 서비스에 전달하는 방식이라 사용자가 긴 문자열을 외울 필요가 없습니다. 매번 비밀번호를 찾거나 다시 설정하던 사람이라면 이 차이가 꽤 크게 느껴질 수 있습니다.
기술은 더 복잡해졌지만 사용자가 해야 할 행동은 오히려 줄었습니다. 편리하면서 보안도 놓치지 않는다는 점이 패스키가 빠르게 확산되는 중요한 이유입니다.
보안
패스키가 비밀번호보다 주목받는 결정적인 이유는 피싱 공격에 강하다는 점입니다. 비밀번호는 사용자가 직접 입력하기 때문에 가짜 사이트에 속으면 그대로 전달될 수 있습니다.
문자나 전자우편에 있는 링크를 눌렀는데 진짜 사이트와 거의 똑같은 로그인 화면이 나온다고 생각해 보면 이해하기 쉽습니다. 사용자가 비밀번호를 직접 입력하면 공격자는 그 정보를 가져갈 수 있습니다. 화면만 보고 진짜와 가짜를 매번 구분해야 하니 사용자도 부담스럽습니다.
패스키는 로그인하려는 사이트가 맞는지 기기가 확인한 뒤 인증합니다. 가짜 사이트가 화면을 비슷하게 꾸민다고 해서 같은 인증 정보를 가져가기 어렵습니다. 국제 인증 표준을 만드는 단체에서도 이런 피싱 저항성을 패스키의 주요 장점으로 설명합니다.
쉽게 말하면 비밀번호는 문 앞에서 열쇠 번호를 직접 말해주는 방식이고, 패스키는 내 기기가 진짜 문인지 확인한 뒤 열어주는 방식에 가깝습니다. 이 차이가 패스키 보안의 핵심입니다.
기기 관리
패스키 이야기를 들으면 가장 걱정되는 부분도 있습니다. 휴대전화를 잃어버리거나 새 기기로 바꾸면 로그인하지 못하는 것 아니냐는 점입니다. 처음 접하는 사람이라면 당연히 드는 의문입니다.
패스키는 한 기기에 저장되는 방식도 있고, 같은 계정에 연결된 기기 사이에서 동기화되는 방식도 있습니다. 지원하는 서비스를 사용하면 새 휴대전화에서도 기존 패스키를 다시 이용할 수 있는 경우가 많습니다.
다만 여기서 중요한 것은 계정 복구 방법을 미리 준비하는 것입니다. 복구용 전화번호나 다른 기기 같은 수단을 설정해 두면 기기를 잃어버렸을 때 훨씬 마음이 편합니다.
공용 기기에서는 조금 더 조심할 필요가 있습니다. 가족 여러 명이 함께 사용하는 태블릿이나 회사 공용 컴퓨터에 패스키를 저장하기보다는 본인이 직접 관리하고 화면 잠금이 설정된 기기를 사용하는 편이 안전합니다.
아쉬운 점
패스키라고 해서 모든 것이 완벽한 것은 아닙니다. 아직 모든 사이트가 패스키를 지원하는 것도 아니고, 오래된 기기에서는 이용하기 어려운 경우도 있습니다.
새 휴대전화로 바꾸는 과정이나 처음 설정할 때 메뉴 위치를 찾느라 잠깐 헤맬 수도 있습니다. 익숙한 비밀번호 방식과 달라서 처음 한두 번은 오히려 번거롭게 느껴지는 사람도 있을 겁니다.
그래도 한 번 설정하고 익숙해지면 매번 비밀번호를 입력하는 것보다 편하게 느껴지는 경우가 많습니다. 그래서 처음부터 모든 계정을 바꾸기보다는 자주 사용하는 서비스 하나부터 시작하는 방법이 부담이 적습니다.
패스키는 비밀번호를 오늘 당장 없애는 기술이라기보다, 우리가 로그인하는 방식을 조금씩 바꾸고 있는 기술이라고 보는 편이 자연스럽습니다.
자주 묻는 질문
패스키는 비밀번호보다 안전한가요?
비밀번호를 직접 입력하지 않고 진짜 서비스인지 확인한 뒤 인증하기 때문에 피싱 공격에 더 강한 방식으로 평가됩니다.
지문 정보가 사이트로 전송되나요?
일반적으로 지문이나 얼굴 정보는 기기 안에서 본인을 확인하는 데 사용됩니다. 사이트에 지문 사진이나 얼굴 정보 자체를 보내는 방식은 아닙니다.
휴대전화를 바꾸면 어떻게 하나요?
사용하는 운영체제와 패스키 관리 방식에 따라 새 기기로 동기화하거나 계정 복구 절차를 거쳐 다시 사용할 수 있습니다.
모든 사이트에서 사용할 수 있나요?
아직은 아닙니다. 비밀번호만 지원하는 서비스도 있지만 패스키를 지원하는 곳은 계속 늘어나고 있습니다.
공용 컴퓨터에서도 사용해도 되나요?
가급적 본인이 관리하는 기기에서 사용하는 것이 좋습니다. 여러 사람이 잠금을 풀 수 있는 공용 기기에는 패스키를 저장하지 않는 편이 안전합니다.
지금 사용해도 괜찮을까요?
지원하는 서비스가 있다면 자주 사용하는 계정부터 하나씩 사용해 보는 방법이 좋습니다. 모든 계정을 한꺼번에 바꿀 필요는 없습니다.
마무리글
비밀번호는 오랫동안 익숙한 로그인 방식이었지만 계정이 늘어나면서 불편함도 함께 커졌습니다. 기억하기 어렵고, 같은 비밀번호를 반복해서 쓰면 보안이 약해지며, 가짜 로그인 화면에 속아 입력할 위험도 있습니다.
패스키는 이 문제를 비밀번호를 더 어렵게 만드는 방식으로 해결하지 않았습니다. 사람이 기억할 정보를 줄이고 기기가 본인임을 확인하도록 바꿨습니다. 그래서 로그인은 간단해지고 피싱 위험도 줄일 수 있습니다.
아직 모든 서비스에서 사용할 수 있는 것은 아니므로 무리해서 한꺼번에 바꿀 필요는 없습니다. 평소 가장 자주 사용하는 계정에서 패스키를 지원한다면 먼저 하나만 설정해 보세요. 사용해 보고 편하다면 그다음 계정으로 조금씩 넓혀가는 것이 가장 부담 없는 방법입니다.