2026년, 패스키(Passkey)는 '미래 기술'에서 일상적인 현실로 바뀌었습니다. Apple, Google, Microsoft 플랫폼 모두 지원하며, 지문이나 얼굴 인식으로 로그인할 수 있는 서비스가 늘어나 비밀번호가 필요 없어지고 있습니다. 패스키란 무엇인지, 비밀번호보다 정말 안전한지, 전환 기간 중 계정을 어떻게 관리해야 하는지 알아봅니다.
1. 비밀번호가 근본적으로 문제인 이유
서버 측 저장 위험
비밀번호는 어떤 형태로든 서비스 제공자의 서버에 저장되어야 합니다. 서버가 침해되면 비밀번호 해시가 오프라인으로 해독될 수 있습니다. 매년 대규모 데이터 유출 사고가 발생하며, 거의 모두 비밀번호 정보를 포함합니다.
피싱 공격 방어 불가
아무리 복잡한 비밀번호도 가짜 사이트에 입력하면 공격자에게 그대로 전달됩니다. 2FA가 있어도 실시간 피싱 공격은 OTP를 즉시 중계해 계정을 탈취할 수 있습니다.
2. 패스키의 작동 원리
패스키는 FIDO2 / WebAuthn 표준을 기반으로 공개키 암호화를 사용합니다.
등록 단계
- 기기에서 개인키와 공개키 쌍 생성
- 개인키는 기기의 보안 칩에 저장되며 절대 서버로 전송되지 않음
- 공개키만 서비스 서버에 저장
로그인 단계
- 서비스가 무작위 챌린지 코드 전송
- 생체인증 또는 PIN으로 개인키 잠금 해제
- 개인키로 챌린지에 서명하여 서버로 반환
- 서버가 공개키로 서명 검증 후 로그인 완료
암호화 체험하기：AES 암호화 도구로 현대 암호화 기술을 직접 체험하고 키가 암호화 시스템에서 어떻게 작동하는지 이해할 수 있습니다.
3. 패스키가 피싱에 면역인 이유
패스키 로그인 시 기기는 통신 중인 사이트의 도메인명을 엄격히 검증하여 키 쌍 생성 시 연결된 도메인과 완전히 일치하는지 확인합니다. 피싱 링크로 paypa1.com에 이동해도 paypal.com용 패스키는 표시되지 않습니다.
4. 전환 기간 중 계정 관리
- 지원 서비스(Google, Apple ID, GitHub)에서 즉시 패스키 활성화
- 중요한 계정에는 TOTP 앱 기반 2FA 설정
- 비밀번호 관리자로 각 사이트에 고유한 강력한 비밀번호 생성
지금 강력한 비밀번호 생성：비밀번호 생성기는 브라우저 내에서 고엔트로피 무작위 비밀번호를 생성하며, 서버 업로드가 없습니다.
요약
- 패스키는 공개키 암호화를 사용하며 개인키는 기기를 떠나지 않음
- 도메인 바인딩으로 기술적 수준에서 피싱 방어
- 2026년 주요 플랫폼과 서비스에서 광범위하게 지원
- 전환 기간에는 비밀번호 관리자 + 강력한 비밀번호 + 2FA로 보호