패스키(Passkey) — 폰을 잃어버리면 계정도 사라질까

패스키(Passkey)는 비밀번호 대신 기기에 저장된 암호 키 쌍으로 로그인하는 방식이다. 개인 키는 내 폰이나 노트북 안에서만 살고, 서버로는 절대 넘어가지 않는다. 그래서 유출될 비밀번호 자체가 없다. 요즘 로그인 화면에서 "패스키로 등록하시겠어요?"라는 안내를 부쩍 자주 만나는 이유가 여기 있다.

그런데 사람들이 가장 먼저 던지는 질문은 보안이 아니라 이거다. "그럼 폰을 잃어버리면 내 계정도 같이 날아가나?" 나도 처음 패스키를 켤 때 똑같은 걱정을 했다. 결론부터 말하면, 오늘날 대부분의 패스키는 클라우드로 동기화되기 때문에 기기 하나를 잃어도 계정은 살아 있다. 다만 그 편리함의 뒤에는 우리가 알아둬야 할 맞바꿈이 숨어 있다.

패스키가 실제로 어떻게 작동하나

패스키는 공개 키 암호를 로그인에 그대로 옮겨놓은 것이다. 어떤 사이트에 패스키를 등록하면 내 기기 안에서 키 쌍이 만들어진다. 공개 키는 서버로 보내 저장하고, 개인 키는 기기의 보안 영역(폰의 시큐어 엔클레이브, 노트북의 TPM 같은 곳)에 갇힌다. 로그인할 때 서버는 무작위 값을 던지고, 내 기기는 개인 키로 그 값에 서명해서 돌려준다. 서버는 저장해둔 공개 키로 서명을 검증한다. 이 과정에서 비밀번호처럼 "맞히면 뚫리는 값"이 오간 적이 한 번도 없다.

여기서 내가 가장 좋아하는 대목은 도메인 결합이다. 개인 키는 등록된 도메인에서만 쓰인다. 공격자가 진짜와 똑같이 생긴 가짜 로그인 페이지를 만들어도, 브라우저가 도메인이 다르다는 걸 알기 때문에 패스키가 아예 응답하지 않는다. 사람이 아무리 방심해도 기계가 대신 속지 않는다. 비밀번호 시대의 최대 골칫거리였던 피싱이 구조적으로 막히는 것이다.

동기화형과 기기고정형, 무엇이 다른가

패스키라고 다 같은 패스키가 아니다. 크게 두 갈래로 나뉜다. 하나는 애플, 구글, 마이크로소프트 같은 플랫폼의 클라우드를 통해 내 기기들 사이에서 개인 키가 암호화된 채 복제되는 동기화형이다. 다른 하나는 물리 보안 키(하드웨어 키)처럼 개인 키가 그 기기 밖으로는 절대 나가지 않는 기기고정형이다.

일반 사용자에게는 동기화형이 압도적으로 편하다. 새 폰을 사서 계정에 로그인만 하면 패스키가 따라온다. 반대로 은행 관리자 콘솔이나 서버 접속처럼 한 번 뚫리면 치명적인 자리에는 기기고정형 하드웨어 키를 권한다. 나는 개인 이메일과 SNS는 동기화형으로, 도메인·서버 관리 계정은 물리 키로 나눠 쓴다.

그래서 폰을 잃어버리면?

동기화형 패스키라면 크게 걱정할 일이 아니다. 새 기기에서 플랫폼 계정(구글·애플 계정 등)에 로그인하면 패스키가 복원된다. 핵심은 이 플랫폼 계정 자체를 얼마나 잘 지켰느냐다. 여기에 강한 두 번째 인증이 걸려 있고 복구 코드를 안전하게 보관해뒀다면, 폰 분실은 그저 성가신 사건일 뿐 계정 상실로 이어지지 않는다.

반대로 조심해야 할 함정도 있다. 많은 서비스가 패스키를 등록해두고도 "비밀번호 찾기"나 문자 인증 같은 옛 복구 경로를 그대로 열어둔다. 정문은 패스키로 튼튼하게 잠갔는데 뒷문이 활짝 열려 있는 셈이다. 공격자는 늘 가장 약한 문을 노린다. 그래서 나는 중요한 계정일수록 패스키를 켠 뒤 문자 기반 복구 같은 약한 경로를 정리하고, 복구 코드를 오프라인에 따로 적어둔다.

기업이 챙겨야 할 것

서비스를 만드는 쪽이라면 패스키를 "비밀번호를 대체하는 버튼 하나" 정도로 붙여선 안 된다. 계정 복구 흐름을 함께 설계해야 진짜 이득을 본다. 여러 개의 패스키를 등록하도록 유도하고(폰 + 노트북 + 물리 키), 복구용 경로가 오히려 가장 약한 고리가 되지 않도록 다시 점검하는 것이 핵심이다.

비밀번호는 정말 사라질까

당장 사라지지는 않는다. 아직 패스키를 지원하지 않는 서비스가 많고, 여러 사람이 한 계정을 공유하는 상황이나 오래된 기기처럼 패스키가 어색한 자리도 남아 있다. 현실적으로 앞으로 몇 년은 패스키와 비밀번호가 나란히 공존하는 과도기다. 하지만 방향은 분명하다. 사용자는 외울 게 없어 편하고, 서비스는 유출될 비밀번호 데이터베이스 자체가 없어 마음이 편하다. 양쪽 모두에게 이득인 변화는 결국 이긴다. 나는 지원하는 서비스라면 지금 바로 패스키를 켜라고 권한다. 익숙해지는 데 딱 한 번의 로그인이면 충분하다.

자주 묻는 질문

패스키를 쓰면 비밀번호를 완전히 지워도 되나요?

서비스가 허용한다면 지우는 편이 낫습니다. 비밀번호가 남아 있으면 그게 곧 공격 표면이 됩니다. 다만 대부분의 서비스는 아직 복구용으로 비밀번호를 유지하므로, 지울 수 없다면 아주 길고 유일한 비밀번호를 관리자에 넣어두고 거의 쓰지 않는 방식이 현실적입니다.

패스키는 정말 피싱에 안 뚫리나요?

패스키 자체는 도메인에 묶여 있어 가짜 사이트에서 작동하지 않습니다. 다만 공격자가 패스키 대신 옛 비밀번호 로그인이나 문자 인증으로 사용자를 유도하는 우회는 가능합니다. 그래서 약한 대체 경로를 정리하는 것이 패스키의 피싱 방어력을 완성하는 마지막 단추입니다.

물리 보안 키가 꼭 필요한가요?

일반 사용자에게는 동기화형 패스키만으로 충분합니다. 다만 서버 관리자, 개발자, 고위험 업무 계정처럼 한 번 뚫리면 피해가 큰 자리에는 개인 키가 밖으로 나가지 않는 하드웨어 키를 추가로 두는 것을 권합니다.

여러 기기를 쓰는데 각각 등록해야 하나요?

동기화형이라면 같은 플랫폼 계정 안에서 자동으로 공유되므로 한 번만 등록해도 됩니다. 반대로 운영체제 계정이 다른 기기(예: 아이폰과 윈도우 노트북)를 오간다면, 각 환경에 패스키를 하나씩 추가로 등록해두면 서로의 백업이 되어 더 안전합니다.