패스키가 싫습니다
1. 이게 뭔가요?
이 글은 최근 IT 업계에서 비밀번호를 대신할 로그인 수단으로 권장하는 패스키라는 기술을 다룹니다. 패스키는 웹사이트나 앱에 로그인할 때 비밀번호를 직접 입력하는 대신, 기기의 인증 방식을 이용해 본인임을 증명하는 방식입니다. 사이트가 해킹당해 서버 정보가 유출되더라도 패스키 자체는 유출될 위험이 없고, 가짜 웹사이트를 통한 피싱 공격을 막을 수 있는 장점이 있습니다. 이 글은 이러한 패스키가 기업 환경에는 적합하지만 개인 사용자에게는 오히려 위험할 수 있는 이유를 짚어봅니다.
2. 왜 화제인가요?
구글이나 마이크로소프트 같은 대형 기술 기업들이 비밀번호 없는 로그인을 유도하며 패스키 사용을 권장하는 가운데, 이 기술이 과연 개인 사용자에게 정말 안전하고 편리한지 의문을 제기하기 때문에 화제가 됩니다. 기업 환경에서는 보안성을 높여주지만, 개인에게는 기기 분실, 자동 계정 정지, 영구 계정 잠금 같은 위험이 더 큽니다. 특히 하드웨어 보안 기기의 저장 개수 한계, 운영체제 연동형 패스키의 계정 정지 위험, 제3자 비밀번호 관리자 연동의 불편함, 다른 기기에서 로그인할 때의 제약 등 일상적인 사용자 관점에서 겪을 수 있는 실질적인 한계를 객관적으로 살펴볼 필요가 있습니다.
3. 핵심 내용
패스키가 싫습니다
에단 호크슬리(Ethan Hawksley) 지음
2026년 9월 18일
읽는 시간 4분
지난 몇 년 동안 IT 업계는 로그인의 궁극적인 해결책이라며 패스키를 계속해서 밀어붙였습니다. 패스키란 웹사이트나 앱에 비밀번호를 치지 않고 스마트폰의 지문, 얼굴 인식 또는 화면 잠금 해제만으로 안전하게 로그인하는 기술입니다. 많은 대형 기술 기업들은 사용자가 로그인할 때마다 패스키가 얼마나 쉽고 간편한지 친절하게 알려줍니다. 이 안내를 멈추게 하는 유일한 방법은 마지못해 패스키를 설정하거나, 설정을 뒤져서 이 기능을 끄는 스위치를 찾아내는 것뿐입니다.
구글의 '가능한 경우 비밀번호 건너뛰기' 설정
구글은 이 설정을 '가능한 경우 비밀번호 건너뛰기'라는 이름까지 붙여두었고(새 탭에서 열림), 마이크로소프트는 계정을 비밀번호 없이 사용하도록 만들라고 광고합니다(새 탭에서 열림).
패스키는 훌륭한 기술입니다. 패스키는 그것이 만들어진 특정 웹사이트와 단단히 연결되어 있기 때문에, 해커가 만든 가짜 로그인 화면에 속아 정보를 넘겨주는 피싱 공격을 당할 수 없습니다. 또한 어떤 웹사이트가 해킹당해 고객 정보가 유출되더라도, 패스키는 양방향 암호화 수학 원리를 사용하므로(비대칭 방식) 서버에 저장된 정보만으로는 복구하거나 훔쳐갈 수 없습니다.
이로 인해 패스키는 기업 환경에는 완벽하게 어울리지만, 개인 보안에는 어울리지 않게 됩니다. 개인 사용자에게 가장 큰 위험은 해킹이 아니라 계정에 영원히 로그인하지 못하게 되는 영구 잠금, 자동 시스템에 의한 계정 차단, 그리고 기기 분실입니다. 패스키를 사용하면 해커가 중간에서 통신을 가로채는 중간자 공격으로부터는 보안이 좋아지지만, 계정 접근 권한을 잃어버릴 확률이라는 더 높은 위험 시나리오를 마주하게 됩니다.
표준 로그인 과정을 통한 피싱은 패스키로 완전히 없앨 수 있지만, 이는 오히려 안전하다는 거짓된 믿음을 심어줍니다. 계정의 실제 보안은 여전히 가장 약한 복구 수단, 즉 문자 메시지(SMS), 이메일 링크, 본인 확인 질문 등에 의해 좌우됩니다. 이러한 복구 수단들이 제대로 마련되어 있지 않다면, 사용자는 영구적으로 계정이 잠길 위험을 그대로 떠안게 됩니다.
하드웨어 보안키
구조상 하드웨어 키(PC나 스마트폰에 꽂아 사용하는 열쇠 모양의 물리적인 보안 장치)에 들어 있는 패스키는 백업을 만들 수 없습니다. 패스키는 추가하거나 삭제할 수는 있지만 다른 곳으로 이동시키는 것은 불가능하기 때문입니다. 따라서 사용자는 하드웨어 키를 2~3개 정도 구매한 다음, 방문하는 모든 웹사이트마다 각각의 키를 모두 등록해야 합니다. 이 작업은 금방 비용이 많이 들게 되며, 계정 수가 늘어날수록 관리가 제대로 되지 않습니다.
하드웨어 키는 웹사이트가 사용자가 직접 아이디를 입력하게 하는 대신 사용자의 아이디를 직접 조회해 올 수 있는 '탐색 가능 자격 증명' 기능을 지원합니다. 이 기능은 웹사이트 개발자들 사이에서 점점 인기를 얻고 있지만, 하드웨어 키 하나당 25개에서 100개의 계정만 저장할 수 있는 한계가 있습니다(새 탭에서 열림). 성능이 가장 좋은 최고급 키라 해도 최대 300개까지만 저장할 수 있습니다. 이 한도를 초과하면 일부 계정의 연동을 삭제하거나 다른 하드웨어 키 세트를 추가로 구매해야 합니다.
동기화되는 패스키
애플과 구글은 사용자의 신원이 자기네 운영체제에 묶이기를 원합니다. 이들의 기기에서 가장 권장되는 정상적인 사용법은 애플이나 구글 계정에 연동된 클라우드 동기화 패스키 관리 기능을 사용하는 것입니다. 만약 이들의 자동 시스템이 어느 날 실수로 사용자의 계정을 차단하기로 결정한다면(새 탭에서 열림), 사용자는 다른 서드파티(외부 제3자) 계정에서 사용하던 모든 패스키까지 돌이킬 수 없을 정도로 한꺼번에 잃어버리게 됩니다.
온라인 인증 표준을 만드는 단체인 FIDO 얼라이언스는 기기 간 호환성을 개선하고 패스키를 더 쉽게 내보낼 수 있도록 노력해 왔지만, 여전히 서비스 제공자마다 경험이 조각나 있고 일관성이 없습니다. 이 부분은 앞으로 몇 년 안에 나아질 예정이지만, 현재로서는 믿고 의존하기에는 너무 미성숙합니다. 필요할 때 손으로 쉽게 복사해서 내보낼 수 있는 단순한 텍스트 문자열인 비밀번호와 비교해 보면 차이를 알 수 있습니다.
제3자 서비스가 동기화하는 패스키
비트워든이나 키패스XC 같은 비밀번호 관리자에 패스키를 저장하려고 하면 운영체제와 충돌을 겪게 됩니다. 여기서 비밀번호 관리자는 여러 계정의 비밀번호를 안전하게 보관하고 입력해 주는 프로그램을 말합니다. 최근 안드로이드의 크리덴셜 매니저 같은 응용 프로그램 프로그래밍 인터페이스가 나와서 제3자 도구가 끼어들 수 있게 되었지만, 여전히 사용자 경험이 조각나 있고 수십 년 동안 발전해 온 기존 비밀번호 자동완성 기능만큼 매끄럽지 않습니다. 인터넷 브라우저 바깥이나 스마트폰의 기본 앱 안에서 자동완성 기능을 쓸 때는 특히 일관성이 없고 자주 문제가 생깁니다. 미래에는 제3자 패스키가 주를 이루겠지만, 아직은 그때가 아닙니다.
패스키가 제대로 작동하지 않을 때
자신이 소유한 기기에서 계정에 로그인하는 것은 패스키를 쓰기에 가장 이상적인 상황입니다. 하지만 동료의 컴퓨터를 빌려 써야 할 때는 훨씬 번거로워집니다. 하드웨어 열쇠를 꽂을 수도 있지만, 컴퓨터에 맞는 연결 단자가 항상 있는 것은 아닙니다. 로그인하면서 동기화된 패스키를 쓸 수도 있지만, 그 컴퓨터가 나의 다른 모든 패스키를 유출하지 않을 것이라고 믿어야 하는 위험이 따릅니다. 마지막 방법은 하이브리드 전송 방식을 쓰는 것입니다. 이 방식은 컴퓨터 화면에 나타난 네모 모양의 픽셀 무늬인 QR 코드를 스캔하고 블루투스를 동시에 연결해 본인 인증을 하는 기술입니다. 여기서 블루투스는 선을 쓰지 않고 가까운 거리에서 기기끼리 무선으로 통신하는 기술을 말합니다. 이 방법은 보안상 안전하고 이론적으로는 잘 작동하지만, 실제 현실에서는 연결이 끊기거나 컴퓨터가 블루투스를 지원하지 않는 등의 예외적인 상황 때문에 자주 실패합니다.
패스키는 아직 준비되지 않았습니다
기업 사용자들에게는 패스키를 쓸 만한 충분한 이유가 있다고 보지만, 일반 개인 사용자들에게는 아직 관련 생태계가 충분히 성숙하지 않았습니다.
기존에 쓰던 일회용 인증 번호 방식인 TOTP 코드는 가짜 사이트로 유도해 정보를 가로채는 피싱 공격에 취약하다는 약점이 있습니다. 하지만 패스키를 쓰다가 계정이 잠기거나 복구하지 못하게 될 위험이, 대부분의 사람에게는 가짜 사이트를 중간에서 실시간으로 중계하는 공격인 AiTM 프록시 공격보다 일상에서 훨씬 더 큰 위험이 됩니다. 제3자 비밀번호 관리자에 무작위로 만든 복잡한 비밀번호를 저장하고, 독립된 일회용 인증 번호 앱을 함께 쓰는 조합은 사용자가 통제권을 가지면서도 일반 텍스트 비밀번호가 주는 유연성을 포기하지 않게 해 줍니다. 예전에 모든 사이트에서 똑같은 비밀번호를 재사용하던 사용자들에게는 패스키가 엄청난 발전입니다. 하지만 그 외의 사람들, 즉 이미 비밀번호 관리를 잘하고 있던 사람들에게는 현재로서는 오히려 한 걸음 뒤로 물러서는 격입니다.
4. 나에게 어떤 영향이 있나요?
기업 사용자에게는 패스키를 사용할 좋은 이유가 있지만, 개인 사용자용 생태계는 아직 성숙하지 않았습니다. 기존에 여러 사이트에서 비밀번호를 재사용하던 사용자에게는 패스키가 큰 도약이지만, 비밀번호 관리 프로그램과 일회용 인증 번호 앱을 잘 쓰고 있는 사용자에게는 현재로서는 오히려 한 걸음 후퇴하는 것일 수 있습니다. 기술 표준 단체가 개선 작업을 하고 있으나 아직 완성되지 않았으므로, 기기 분실이나 계정 잠금 같은 위험 조건을 미리 이해하고 기존의 방식을 유지하는 것이 더 안전할 수 있습니다.