사이트마다 다른 비밀번호를 만들고 외우는 일이 번거롭게 느껴지시나요? 혹은 언젠가 사이트가 해킹당해 내 로그인 정보가 인터넷에 그대로 유출될지도 모른다는 생각에 불안하신가요? 최근 WebAuthn(웹어쓴) 기술의 발전으로 웹사이트 로그인이 한결 쉬워질 전망입니다. 이 새로운 표준이 성공적으로 자리 잡으면 훌륭한 2차 인증 수단이 될 뿐만 아니라, 나아가 비밀번호를 완전히 대체할 수도 있습니다.
WebAuthn(웹어쓴)이란?
지문 인식이 가능한 스마트폰이나 노트북을 사용해 보신 적이 있나요? 지문 스캐너를 이용하면 기기의 비밀번호 입력 없이도 잠금을 해제할 수 있죠. WebAuthn도 이와 비슷한 개념인데, 다만 적용 대상이 기기가 아니라 웹사이트라는 점이 다릅니다.
예를 들어 어떤 웹사이트에 로그인하려는데 해당 사이트가 WebAuthn을 인증 방식으로 지원한다고 가정해 보겠습니다. 회원가입 시 계정에 WebAuthn 자격 증명을 등록할 수 있으며, 이 자격 증명은 PIN 번호부터 지문 같은 생체 인식, USB 보안키 동글까지 매우 다양합니다.
기술 자체가 아직 새로운 것치고는 이미 활용 방법이 꽤 많습니다. 대표적인 하드웨어 보안키인 YubiKey는 WebAuthn과 호환되므로, 가입할 때 USB 포트에 꽂아 본인 인증을 진행할 수 있습니다. 또한 생체 인식 기능을 갖춘 스마트폰이 있다면 이를 로그인 인증 장치로 활용할 수도 있습니다.
사이트에 기기를 한 번 등록해 두면 이후에는 지정한 로그인 방식을 그대로 사용하면 됩니다. 앞서 든 스마트폰 예시라면, 사이트의 로그인 페이지에 접속했을 때 휴대폰이 생체 인식을 요청하고, 이를 통해 본인임을 확인하는 방식입니다.
WebAuthn은 일반 비밀번호와 함께 2단계 인증(2FA)의 일부로 사용할 수도 있지만, 이 기술이 대중화된다면 주요 로그인 수단으로 자리 잡아 비밀번호를 완전히 대체하는 것도 충분히 가능합니다.
비밀번호보다 나은 점은 무엇일까?
WebAuthn 로그인의 가장 큰 강점은 피싱 공격을 원천적으로 차단한다는 점입니다. 사용자는 가짜 웹사이트나 스미싱 메일로 인해 비밀번호를 도난당할 수 있지만, WebAuthn에서는 그런 일이 일어나지 않습니다. 예컨대 생체 정보는 비밀번호보다 '훔치기'가 훨씬 어렵습니다.
WebAuthn의 작동 구조 때문에, 이 기술을 사용하는 웹사이트는 사용자 인증에 쓰인 실제 데이터를 전혀 볼 수 없습니다. 서버에는 '이 사용자가 본인이 맞다'는 확인 결과만 전달될 뿐입니다. 따라서 해커가 WebAuthn 로그인 과정에서 민감한 데이터(생체 정보 등)를 수집해 다른 사람으로 위장하는 것이 원천적으로 불가능합니다.
과연 비밀번호를 대체할 수 있을까?
WebAuthn은 비밀번호를 완전히 대체할 잠재력을 갖추고 있지만, 반드시 그렇게 된다는 보장은 없으며 하루아침에 이뤄질 일도 아닙니다. WebAuthn이 최근 뉴스에 오른 이유는 표준화 작업이 마무리 단계에 접어들었기 때문입니다. Firefox와 Chrome이 모두 WebAuthn을 지원하고 있어, 웹사이트들은 원한다면 언제든 이 기술을 도입할 수 있는 환경이 마련되었습니다.
이제 중요한 것은 대중의 관심입니다. 만약 개발자들, 특히 아마존 같은 대형 사이트를 담당하는 개발자들이 WebAuthn을 시간 낭비로 여긴다면 해당 기술은 도입되지 않고 결국 사라질 수 있습니다. 반대로 도입되더라도 아무도 사용하지 않으면 입지를 유지하기 어렵습니다. 설령 널리 도입되고 잘 활용되더라도, 비밀번호를 완전히 대체하기까지는 상당한 시간이 걸릴 것으로 보입니다.
열려라 참깨, 비밀번호 없는 미래
피싱 공격과 데이터베이스 유출이 끊이지 않는 요즘, 새로운 보안 방식의 등장은 반가운 소식입니다. WebAuthn은 2차 보안 장벽으로 활용되거나, 나아가 비밀번호를 완전히 대체하는 혁명이 될 잠재력을 지니고 있습니다.
여러분은 WebAuthn이 기존 비밀번호를 대체하기를 바라시나요? 아니면 오히려 번거로울까요? 아래 댓글로 의견을 남겨주세요!