2023년 10월 23일 EDT 오전 8:01 게시
작가 소개
앤드류 하인즈먼(Andrew Heinzman)은 5년 이상의 경력을 지닌 베테랑 테크 작가로, 오디오·비디오 기기, 컴퓨터, 스마트폰 분야의 심층 제품 리뷰와 통찰력 있는 기술 뉴스 전문으로 활동하고 있습니다. How-To Geek의 자매 사이트였던 Review Geek에서 2년간 뉴스 에디터로 근무한 경력도 갖고 있습니다.
그는 명확성과 깊이, 실용성을 바탕으로 최신 기술 동향을 독자들에게 전달하며 인정받아 왔습니다. 여가 시간에는 영문학 학사 과정 시절처럼 음악을 감상하고 독서를 즐깁니다.
핵심 요약
- 패스키는 비밀번호를 기억하거나 입력할 필요가 없어 편의성과 보안성을 동시에 높여 줍니다. 패스키는 기기에 저장되는 '비밀 키'와 웹사이트 서버에 보관되는 '공개 키' 한 쌍으로 구성됩니다.
- 현재 Apple iCloud 키체인, 1Password 등 일부 패스키 관리 서비스에서만 패스키 공유가 가능합니다. 업계가 계정 공유를 막고 사용자 보안을 우선시하는 만큼, 패스키 공유가 널리 보편화되지 않을 수도 있습니다.
- 패스키는 본질적으로 사용자 보안 강화를 위해 설계되었습니다. 공유가 너무 쉬워지면 피싱 공격에 대한 방어 효과가 떨어질 수 있어, 일부 그룹이나 특정인에게만 공유가 허용될 가능성이 큽니다.
패스키는 앞으로 몇 년 안에 비밀번호를 완전히 대체할 것으로 예상됩니다. 하지만 이 전환 과정에서 가장 큰 걸림돌 중 하나가 바로 '패스키 공유'입니다. 패스키는 사용자 본인도 내용을 알 수 없고 직접 입력할 수도 없는데, 그렇다면 패스키로 보호된 계정을 어떻게 친구나 가족과 나눌 수 있을까요?
이 글은 사이버보안 인식 주간(Cybersecurity Awareness Week) 기획으로 Incogni와 함께 전달합니다.
패스키란 무엇일까?
기존의 비밀번호는 번거로울뿐더러 보안 위험도 상존합니다. 데이터 유출 사고에 비밀번호가 포함될 수도 있고, 정교한 피싱 공격에 속아 해커에게 비밀번호를 알려줄 수도 있습니다. 프리미엄 비밀번호 관리자를 사용하는 것이 가장 좋은 대안이지만, 실제로 디지털 생활을 철저히 보호하려는 사람은 많지 않습니다.
그래서 등장한 것이 FIDO 얼라이언스(FIDO Alliance)가 만든 패스키입니다. Google, Apple, Microsoft 등 빅테크 기업들이 FIDO 얼라이언스에 참여해 패스키를 비밀번호의 완전한 대체제로 밀고 나가기로 합의했습니다. 원리는 의외로 단순합니다. 웹사이트에 가입하면 '비밀 키'가 생성되어 휴대폰이나 컴퓨터에 저장되고, 이 비밀 키는 웹사이트 서버에 보관된 '공개 키'와 짝을 이룹니다. 두 키가 서로 맞아떨어지면 신원이 확인되어 로그인할 수 있습니다.
비밀 키는 본인조차 알 수 없습니다. 웹사이트가 해킹당해도 유출되는 것은 공개 키뿐입니다. 해커가 직접 당신의 기기를 손에 넣고 지문 인식이나 PIN을 우회하지 않는 한, 개인 키를 탈취하는 것은 사실상 불가능에 가깝습니다.
이제 모든 주요 운영체제가 기본 패스키 관리자를 제공하며, 1Password 같은 비밀번호 관리 도구 역시 패스키를 지원합니다. 하지만 패스키가 웹 전반으로 확산되면 자연스럽게 이런 질문이 따라옵니다. "개인 키를 모르는 상태에서 어떻게 가족이나 친구와 계정을 공유하지?"
출처: Hannah Stryker / How-To Geek
패스키 공유를 지원하는 서비스
현재 패스키 공유를 허용하는 패스키 관리 서비스는 소수에 불과합니다. 공유 기능이 중요하다면 프리미엄 비밀번호 관리자가 최선의 선택일 수 있습니다. 다만 가족이나 친구도 같은 비밀번호 관리자를 사용해야 하는 경우가 많습니다.
현재 패스키 공유 기능을 제공하거나 제공을 계획 중인 대표적인 서비스는 다음과 같습니다.
- Apple iCloud 키체인
- 1Password
- NordPass
- Bitwarden (패스키 공유 지원 예정)
- Dashlane (패스키 공유 지원 예정)
Google도 Chrome에서 비밀번호 공유 기능을 준비 중이라는 소문이 있어, 향후 패스키 공유가 가능해질 여지가 있습니다. 다만 Windows 11의 패스키 구현에 대한 이런 소문은 아직 없습니다.
참고로 비밀번호와 패스키는 당분간 공존할 예정입니다. 로그인 정보를 꼭 누군가와 나눠야 한다면 지금은 비밀번호를 그대로 보내면 됩니다. 웹사이트에서 패스키를 생성해도 기존 비밀번호가 무효화되지 않으며, 적어도 현재로서는 그렇습니다.
패스키 공유는 보편화되지 않을 수 있다
2023년 10월 기준으로 패스키 표준을 실제 지원하는 앱과 웹사이트는 75곳 정도에 불과합니다. 이중 패스키를 기본 로그인 방식으로 채택한 곳은 더욱 드물며, 사용자에게 패스키 사용을 강제한 곳은 아직 없습니다. 패스키가 보편화되고 강제화되면 계정 공유 문제를 풀어야겠지만, 안타깝게도 그 해답이 '패스키 공유'가 아닐 가능성이 큽니다.
대부분의 온라인 서비스는 계정 공유를 엄격히 막으려 하고, 이미 많은 웹사이트가 문자나 이메일을 통한 2단계 인증을 요구합니다. 이런 업체들이 굳이 패스키 공유를 장려할 거라고 기대하기는 어렵습니다. 물론 가족, 간병인, 같은 집에 사는 사람과 반드시 공유해야 하는 계정도 있습니다. 하지만 이런 경우에도 패스키 공유가 필수적이지는 않습니다. 기업들은 각자 고유한 패스키를 생성하도록 요구하거나, 모두에게 별도 계정을 만들어 본인 계정과 연동하게 할 수 있습니다. 후자의 방식은 사용자에게 프라이버시를 보장하고 데이터 수집도 용이해 일부 구독 서비스에서 이미 선호하는 방식입니다.
무엇보다 패스키의 목적은 사용자 보안을 강화하는 것입니다. 패스키 공유가 너무 쉬워지면 피싱 공격 등 각종 위협이 여전히 유효해져 보안 효과가 크게 반감될 것입니다. 그렇기 때문에 패스키 공유는 드물거나, 권장되지 않거나, 패스키 관리자 안에서 만든 가족 그룹 등으로 제한될 가능성이 높습니다. 전체적인 흐름이 정리되기까지는 몇 년의 시간이 더 필요할 것입니다.