패스키(Passkey)는 기존의 비밀번호 기반 인증이 가진 취약점을 해결하기 위해 도입된 FIDO(Fast Identity Online) 표준 기반의 차세대 인증 기술입니다. 비밀번호를 기억하거나 입력할 필요 없이, 사용자의 기기에 저장된 공개키 암호화 방식을 사용합니다.

패스키가 작동하는 핵심 원리를 단계별로 설명해 드립니다.

1. 패스키의 핵심 구성 요소: 공개키 암호화

패스키는 서버에 비밀번호를 저장하는 대신, '비밀키(Private Key)'와 '공개키(Public Key)' 한 쌍을 생성하여 인증을 수행합니다.

• 비밀키(Private Key): 사용자의 기기(스마트폰, PC 등) 내의 안전한 보안 칩(Secure Enclave, TPM 등)에 저장되며, 외부로 절대 유출되지 않습니다.

• 공개키(Public Key): 서비스 제공업체의 서버에 저장됩니다. 누구든 볼 수 있지만, 이를 통해 비밀키를 유추하는 것은 수학적으로 불가능합니다.

2. 인증 과정 (비밀번호 없는 로그인)

사용자가 로그인할 때 다음과 같은 과정을 거칩니다.

1. 챌린지 요청: 서비스 서버는 사용자에게 난수(챌린지)를 보냅니다.

2. 서명 생성: 기기는 사용자의 생체 정보(지문, 얼굴 인식)나 기기 잠금 해제(PIN)를 통해 인증을 승인합니다. 승인이 완료되면 기기는 내부의 비밀키를 사용해 서버로부터 받은 챌린지에 '디지털 서명'을 합니다.

3. 검증: 기기는 이 디지털 서명을 서버로 전송합니다. 서버는 미리 보관하고 있던 공개키를 사용해 이 서명을 검증합니다.

4. 로그인 성공: 서명이 일치하면, 서버는 사용자가 정당한 소유자임을 확인하고 로그인을 승인합니다.

3. 패스키의 주요 장점

• 피싱(Phishing) 방지: 패스키는 특정 웹사이트 도메인과 1:1로 묶여 있습니다. 가짜 사이트(피싱 사이트)에서 로그인을 시도하면 도메인이 다르기 때문에 브라우저가 서명을 거부하여 인증 자체가 성립되지 않습니다.

• 비밀번호 유출로부터 자유로움: 서버에는 비밀번호가 저장되지 않기 때문에, 서비스가 해킹당하더라도 사용자의 계정 정보가 유출될 위험이 없습니다.

• 간편한 사용성: 비밀번호를 기억할 필요 없이 얼굴 인식이나 지문만으로 로그인이 가능하며, iCloud나 Google 계정 등을 통해 여러 기기 간 동기화가 가능합니다.

4. 정리하자면

패스키는 "내가 가지고 있는 기기(Something you have)"와 "나의 생체 정보(Something you are)"를 결합하여 보안 수준을 극대화한 기술입니다. 중앙 서버에 비밀번호라는 약점을 저장하는 대신, 개별 사용자의 안전한 기기 내부에 암호화 서명 도구를 보관하는 방식이라 할 수 있습니다.

혹시 패스키의 특정 구현 방식이나, 현재 사용하시는 기기에서의 구체적인 설정 방법이 궁금하신가요?

OTP도 필요없고, 패스키 저장 된 기기나 계정이라면 쉽게 로그인이 되는데

이 과정들이 너무 순식간에 크게 한거 없이 진행되니깐 말입니다.

그런데 안전하다고 하니 너무 편합니다~ 패스키 만세!