it-sue

우리는 ‘로그인’이라는 행위를 너무 당연하게 여긴다. 아이디를 넣고 비밀번호를 치는 것, 그게 로그인이라고 생각한다. 그런데 이 정의부터 다시 볼 필요가 있다. 로그인의 본질은 비밀번호를 외우는 일이 아니라, ‘나는 나임을 증명하는 일’이다. 비밀번호는 그 증명 방법 중 하나였을 뿐이고, 사실 그리 좋은 방법도 아니었다. 이 지점에서 등장한 대안이 바로 패스키다.

필자가 보기엔 패스키를 단순히 ‘편리한 로그인 기능’ 정도로만 이해하면 이 기술의 무게를 놓치게 된다. 패스키는 로그인이라는 개념 자체를 다시 설계하는 시도에 가깝다.

패스키란 정확히 무엇인가

패스키는 비밀번호 없이 생체인식이나 기기 PIN만으로 로그인하는 인증 방식이다. FIDO 얼라이언스가 표준화를 주도하고 있으며, 구글·애플·마이크로소프트 같은 플랫폼 기업들이 함께 기반을 다졌다.

작동 원리는 생각보다 단순하다. 사용자가 지문이나 얼굴 인식으로 기기 잠금을 풀면, 그 순간 암호화 키 한 쌍이 만들어진다. 개인키는 사용자의 기기나 클라우드에만 저장되고, 공개키만 서비스 제공자 서버로 전달된다. 로그인할 때는 이 두 키가 서로 맞는지만 확인하면 된다.

비밀번호와 근본적으로 다른 지점

여기서 눈에 띄는 건 개인키가 서버로 아예 전송되지 않는다는 점이다. 비밀번호는 서버 어딘가에 해시 형태로든 저장돼 있어야 하고, 그 서버가 뚫리면 대량 유출로 이어진다. 반면 패스키는 유출될 ‘중앙 저장소’ 자체가 존재하지 않는다.

개인적으로는 이 구조 차이가 패스키의 진짜 핵심이라고 본다. 피싱 사이트에 속아 비밀번호를 입력하는 실수도 원천적으로 불가능해진다. 애초에 입력할 비밀번호 자체가 없기 때문이다.

비밀번호와 패스키, 무엇이 다른가

표로 정리하면 두 방식의 차이가 한눈에 들어온다.

구분	비밀번호	패스키
저장 위치	서비스 서버(해시 형태)	사용자 기기·클라우드(개인키)
주요 위협	서버 유출, 피싱, 재사용 공격	기기 분실 시 생체인증 우회 시도
사용자 경험	기억·입력 필요	생체인식·PIN으로 즉시 인증
표준 주체	서비스별 상이	FIDO 얼라이언스 공통 표준

표에서 특히 ‘주요 위협’ 항목을 보면, 패스키가 없애는 위협의 종류 자체가 다르다는 걸 알 수 있다. 비밀번호 재사용이나 대규모 유출 같은 고질적인 문제들이 구조적으로 사라진다는 뜻이다.

국내 기업들은 어디까지 도입했나

국내에서도 확산 속도가 꽤 빠르다. 경향신문 보도에 따르면 SK텔레콤, 네이버, 카카오, 토스 등이 이미 패스키를 도입해 운영 중이다.

카카오의 사례를 보면 실제 적용 방식이 좀 더 구체적으로 그려진다. 카카오 공식 발표에 따르면, 카카오계정에 패스키 로그인을 적용하면서 지문·얼굴 인식·패턴 등 기기 잠금 해제만으로 인증이 끝나도록 했다. 웹 기반으로 확장해, 카카오 로그인을 쓰는 외부 서비스에서도 패스키를 함께 쓸 수 있게 한 점도 눈여겨볼 만하다.

반면 모든 기업이 이 흐름에 발맞춘 건 아니다. 지난해 말 국회 정무위원회에서는 한 이커머스 대표가 자사 서비스의 패스키 미도입을 지적받고, 조속히 검토하겠다고 답한 일도 있었다. 규모가 큰 서비스일수록 인증 체계를 통째로 바꾸는 일이 말처럼 쉽지 않다는 걸 보여주는 장면이다.

플랫폼 기업들의 압박도 한몫한다

마이크로소프트 같은 플랫폼 사업자도 전환을 재촉하고 있다. 엔트라(Entra) 서비스에서 기존 인증 수단을 패스키로 자동 전환하는 정책을 순차 적용하는 중인데, 이런 움직임은 기업 고객들이 원하든 원하지 않든 패스키 도입 시점을 앞당기는 효과를 낸다.

이런 인증 체계 변화는 결국 보안 사고를 줄이려는 큰 흐름과 맞닿아 있다. 자격 증명이 유출되는 사고가 왜 반복되는지는 국가대표 보안 AI 경쟁을 다룬 이전 글에서도 함께 다룬 맥락과 이어진다.

IT-SUE의 시각

필자는 패스키가 단순한 편의 기능을 넘어, 앞으로 5~10년 안에 인증의 기본값이 될 거라 본다. 다만 그 과정이 매끄럽지만은 않을 것 같다.

큰 플랫폼일수록 기존 사용자 기반과 레거시 시스템 때문에 전환이 늦어지는 경향이 있다. 국회에서 뒤늦게 지적받은 사례처럼, 규제나 여론의 압박이 있어야 움직이는 곳도 여전히 많다.

개인적으로는 이 전환이 기업의 선의보다는 결국 사고 예방 비용 계산에서 판가름 날 거라 생각한다. 비밀번호 유출로 치러야 할 대가가 패스키 전환 비용보다 커지는 순간, 나머지 기업들도 빠르게 뒤따라올 것이다.