패스키란? 비밀번호·OTP 차이와 기기 변경·분실 대비 방법

패스키는 비밀번호와 무엇이 다른가요?

비밀번호는 사용자가 알고 있는 문자열을 서버와 대조하는 방식입니다. 같은 비밀번호를 여러 서비스에서 재사용하거나 가짜 로그인 페이지에 입력하면 다른 사람이 그 값을 가져갈 수 있습니다. OTP는 일정 시간만 유효한 숫자를 추가해 위험을 줄이지만, 사용자가 피싱 페이지에 직접 입력하면 공격자가 실시간으로 악용할 가능성은 남습니다.

패스키는 계정을 등록할 때 서비스마다 서로 다른 공개키와 개인키 한 쌍을 만듭니다. Apple의 공식 설명처럼 공개키는 서버에 저장되지만 비밀이 아니며, 실제 로그인에 필요한 개인키는 서버가 알지 못합니다. 로그인 화면에서 얼굴·지문·기기 PIN을 확인하는 과정은 개인키 사용을 승인하는 단계입니다.

FIDO Alliance는 패스키가 FIDO2의 WebAuthn과 CTAP 표준을 이용한다고 설명합니다. 따라서 특정 제조사만의 기능은 아니지만, 실제로 어디에 저장되고 어떤 기기에서 동기화되는지는 Apple 암호 앱·iCloud 키체인, Google 비밀번호 관리자, Windows 또는 서드파티 자격 증명 관리자처럼 사용자가 선택한 패스키 제공자와 서비스 지원 범위에 따라 달라집니다.

비밀번호·OTP·패스키·보안키 비교표

패스키가 모든 로그인 수단을 즉시 없애는 것은 아닙니다. 서비스가 비밀번호 로그인을 함께 허용할 수 있고, 회사나 학교 계정에서는 관리자가 패스키를 두 번째 인증 수단으로만 허용할 수도 있습니다. 아래 표는 일반적인 차이이며 실제 계정 정책을 우선해야 합니다.

로그인할 때 실제로 어떤 일이 일어나나요?

1단계: 사용자가 패스키를 등록한 서비스에서 로그인을 요청합니다. 서비스는 등록 당시 저장한 공개키와 연결된 암호화 확인 요청을 기기로 보냅니다.

2단계: 휴대전화나 컴퓨터가 화면 잠금 방식으로 본인 확인을 요청합니다. 얼굴·지문·PIN은 기기에서 패스키 사용을 승인하는 수단이며, FIDO Alliance의 안내에 따르면 생체 정보와 처리 과정은 기기에 남고 서버에는 성공 여부만 전달됩니다.

3단계: 기기의 개인키가 서비스의 요청에 서명합니다. 개인키 자체를 전송하지 않으므로 서버에 비밀번호와 같은 공유 비밀을 보관할 필요가 없습니다.

4단계: 서비스가 공개키로 서명을 확인하고 로그인시킵니다. 패스키는 만들어진 사이트 또는 앱의 도메인과 연결되므로 외관만 비슷한 다른 사이트에서는 같은 패스키가 제시되지 않는 것이 피싱 저항성의 핵심입니다.

이 구조가 계정 탈취를 완전히 불가능하게 만든다는 뜻은 아닙니다. 잠금 해제된 기기를 다른 사람이 사용하거나 계정 복구 수단이 탈취되고, 사용자가 원격 제어 앱을 설치하는 등 다른 경로의 위험은 남습니다. 패스키를 쓴 뒤에도 기기 잠금, 운영체제 업데이트, 복구 계정 보호가 필요합니다.

동기화 패스키와 기기 종속 패스키를 구분하세요

동기화 패스키는 같은 패스키 제공자 계정에 로그인한 여러 기기에서 사용할 수 있도록 암호화해 동기화하는 방식입니다. FIDO Alliance는 패스키가 제공자를 통해 동기화되거나 특정 기기·보안키에 묶일 수 있다고 구분합니다. 새 휴대전화에서 같은 계정과 제공자를 설정하면 동기화된 패스키가 다시 나타날 수 있습니다.

기기 종속 패스키는 만들어진 기기나 물리 보안키 밖으로 동기화되지 않습니다. 회사가 지급한 보안키처럼 관리 범위를 분명히 할 수 있지만, 그 기기를 잃었을 때 사용할 예비 키나 별도의 복구 수단이 필요합니다. 중요한 계정은 패스키가 어디에 저장됐는지 모른 채 한 기기만 믿지 않는 편이 안전합니다.

Apple 기기에서는 iCloud 키체인과 암호 앱, Android·Chrome 환경에서는 Google 비밀번호 관리자처럼 운영체제에 연결된 제공자를 접하기 쉽습니다. 서로 다른 생태계를 함께 쓴다면 해당 서비스와 브라우저가 교차 기기 로그인, QR 방식, 원하는 서드파티 제공자를 지원하는지 실제 로그인 화면에서 확인하세요.

내 기기가 아닌 컴퓨터에서 로그인할 때 주의할 점

지원되는 서비스는 컴퓨터 화면의 QR 코드를 개인 휴대전화로 스캔해 가까운 기기의 패스키를 사용할 수 있습니다. Google의 공식 안내는 이 과정에서 휴대전화와 컴퓨터의 물리적 근접성을 확인하기 위해 Bluetooth를 켜도록 설명합니다. 패스키가 공용 컴퓨터에 복사되는 것이 아니라 휴대전화가 로그인 요청을 승인하는 구조입니다.

QR 코드가 보인다는 이유만으로 승인해서는 안 됩니다. 내가 직접 열어둔 정확한 사이트인지 주소를 먼저 확인하고, 메신저나 이메일로 받은 QR 코드는 스캔하지 마세요. 로그인 후에는 공용 컴퓨터의 계정 세션에서 로그아웃하고 브라우저가 계정 정보를 저장하지 않았는지 확인합니다.

공용·가족 공용 기기에는 패스키를 새로 만들지 않는 것이 원칙입니다. Google은 패스키를 개인 소유 기기에만 만들라고 안내하며, 계정에서 로그아웃해도 기기를 잠금 해제할 수 있는 사람은 그 패스키로 계정에 접근할 수 있다고 경고합니다.

기기 변경·분실 전 7단계 준비 순서

1단계: 중요한 계정의 보안 또는 로그인 설정을 열어 등록된 패스키 이름과 기기를 확인합니다. 예전에 쓰던 휴대전화나 모르는 항목이 있으면 생성 시점과 현재 사용 여부를 점검합니다.

2단계: 각 패스키가 어느 제공자에 저장되는지 확인합니다. 새 기기에서도 같은 Apple 계정, Google 계정 또는 자격 증명 관리자에 안전하게 로그인할 수 있어야 동기화된 패스키를 사용할 수 있습니다.

3단계: 제공자 계정의 2단계 인증과 복구 전화번호·복구 이메일을 최신 상태로 만듭니다. 패스키를 복구하는 기반 계정 자체에 접근하지 못하면 새 기기 설정이 어려워질 수 있습니다.

4단계: 중요한 계정에는 다른 신뢰 기기의 패스키, 예비 보안키 또는 서비스가 제공하는 복구 코드를 추가합니다. 복구 코드는 사진첩보다 암호화된 관리자나 안전한 오프라인 장소에 보관합니다.

5단계: 새 기기에 패스키 제공자를 설정하고 실제 로그인을 시험합니다. 이전 기기를 초기화하기 전에 새 기기에서 계정과 복구 수단이 모두 작동하는지 확인하세요.

6단계: 이전 기기를 판매·반납하기 전 계정에서 로그아웃하고 제조사의 초기화 절차를 따릅니다. SIM이나 eSIM 이전도 함께 한다면 관련 글의 기기 변경 순서를 확인할 수 있습니다.

7단계: 기기를 잃었다면 접근 가능한 다른 기기에서 계정의 패스키·보안키 목록과 로그인된 기기를 확인해 분실 기기를 제거합니다. Google은 분실 기기의 패스키를 계정 설정에서 제거하고 필요하면 해당 기기의 모든 세션에서 로그아웃하라고 안내합니다.

패스키가 보이지 않거나 로그인되지 않을 때

패스키가 기기에 있는데 계정 화면에 보이지 않는다면 서비스의 등록 목록과 자격 증명 관리자의 저장 목록을 모두 확인해야 할 수 있습니다. 계정에서 항목을 지워도 제공자에 남거나, 반대로 제공자에서 지웠지만 서비스에는 등록 정보가 남는 상황이 있기 때문입니다. 삭제 전에는 어느 쪽 항목인지 이름과 생성일을 비교하세요.

• 휴대전화와 컴퓨터의 운영체제·브라우저가 최신 상태인지 확인합니다.
• 패스키를 만들 때 사용한 제공자 계정으로 로그인했는지 확인합니다.
• 기기의 화면 잠금이 켜져 있고 얼굴·지문·PIN이 정상 작동하는지 확인합니다.
• 다른 기기의 패스키를 쓰는 경우 두 기기의 Bluetooth를 켜고 가까이 둡니다.
• 시크릿 모드에서는 생성이나 사용이 제한될 수 있으므로 일반 창에서 다시 시도합니다.
• 회사·학교 계정은 관리자가 패스키 단독 로그인을 허용했는지 확인합니다.
• 로그인 화면의 ‘다른 방법’에서 비밀번호·복구 코드 등 서비스가 제공하는 대체 수단을 찾습니다.
• 패스키를 성급히 삭제하거나 기기를 초기화하지 말고 다른 로그인 수단이 작동하는지 먼저 시험합니다.