패스키는 어떻게 작동하나요? 인증 플로우 가이드

패스키는 어떻게 작동하나요? FIDO2 공개키 암호화를 사용하여 자격 증명 탈취를 불가능하게 만듭니다. 인증 플로우, 지원 플랫폼, 배포 방안을 알아보세요.

패스키란 무엇인가?

Verizon 2024 DBIR에 따르면, 확인된 침해 사고의 22%에서 도난된 자격 증명이 침입의 문을 열었습니다. 인포스틸러 악성코드와 피싱 캠페인을 통한 자격 증명 탈취는 기존 비밀번호 기반 인증의 약점으로 남아 있습니다. 실제 사고에서 이러한 패턴을 확인할 수 있습니다:

• MGM Resorts (2023): 공격자는 사회공학적 전화를 통해 자격 증명을 획득하고, 궁극적으로 호텔 및 카지노 운영을 중단시켰습니다. MGM은 해당 분기 조정된 부동산 EBITDAR에 1억 달러, 일회성 비용에 1천만 달러의 손실을 공개했습니다(MGM Resorts 8-K 공시).
• Colonial Pipeline (2021): 미국 법무부는 이 사건이 원격 액세스에 사용된 계정이 탈취된 데서 비롯되었으며, 미국 동부 해안 전역의 주요 연료 공급 중단으로 이어졌다고 밝혔습니다(DOJ 보도자료).
• Twilio (2022): 피싱 캠페인을 통해 직원 자격 증명이 탈취되어 내부 시스템 접근 및 고객 영향으로 이어졌습니다(Twilio 사고 보고서).

패스키는 특정 도메인에 바인딩된 암호화 인증을 통해 이러한 실패 지점을 제거하여 자격 증명 탈취 및 재사용을 구조적으로 불가능하게 만듭니다.

패스키는 FIDO2 프로토콜 기반의 암호화 인증 자격 증명입니다. 기기와 서버 모두가 저장하는 비밀번호와 같은 공유 비밀 대신, 패스키는 비대칭 공개-개인 키 쌍 암호화를 사용합니다. 사용자의 기기는 신뢰할 수 있는 플랫폼 모듈(TPM) 또는 보안 인클레이브와 같은 안전한 하드웨어 내에 개인 키를 생성 및 저장합니다. 해당 공개 키는 서버로 전송됩니다. 로그인 시 서버는 암호화 챌린지를 발행하고, 사용자의 기기는 개인 키로 이를 서명하며, 서버는 공개 키로 서명을 검증합니다.

개인 키는 절대 기기를 떠나지 않습니다. 서버는 재사용 가능한 비밀을 보유하지 않습니다. 피싱, 크리덴셜 스터핑, 데이터베이스 침해로 탈취할 수 있는 정보가 없습니다.

이러한 설계는 조직이 신원 인프라를 노리는 가장 일반적인 공격 벡터에 대응하는 방식에 직접적인 영향을 미칩니다.

패스키와 사이버 보안의 관계

패스키는 기업 침해에서 초기 접근의 주요 범주인 자격 증명 탈취 문제를 해결합니다. Verizon DBIR에 따르면 전체 침해의 42%에 자격 증명 탈취가 관여했습니다(Verizon 2024 DBIR). SMS 코드, TOTP와 같은 기존 MFA 방식은 공격자가 만료 전에 코드를 합법적인 서비스로 중계하는 실시간 피싱에 여전히 취약합니다. 패스키는 암호화된 도메인 바인딩을 사용하므로, 해당 자격 증명은 합법적인 원본 도메인에서만 동작합니다. 사용자가 피싱 페이지와 상호작용하더라도, 패스키는 위조 도메인에 대해 인증할 수 없습니다. 이러한 공격 방식이 어떻게 동작하는지 복습하려면 SentinelOne의 피싱 공격 가이드를 참고하십시오.

신원 인프라를 관리하는 보안팀에게 패스키는 자격 증명 탈취 확률을 줄이는 것에서 구조적으로 불가능하게 만드는 방향으로 방어 태세를 전환합니다. SentinelOne의 신원 보안 개요는 인증 강화와 광범위한 신원 위험 영역을 매핑하는 데 도움이 됩니다.

이러한 맥락은 패스키가 대체하는 것과 제공하는 것의 직접적인 비교로 이어집니다.

패스키 vs. 비밀번호

아래 표는 방어자에게 가장 중요한 보안 및 운영 차원에서 패스키와 비밀번호의 핵심 차이점을 요약합니다.

구분	비밀번호	패스키
인증 모델	클라이언트와 서버 모두에 저장된 공유 비밀	비대칭 키 쌍: 기기 내 개인 키, 서버 내 공개 키
피싱 위험	높음: 사용자가 위조 도메인에 자격 증명을 입력할 수 있음	제거됨: 암호화 도메인 바인딩으로 비정상 원본에서 사용 불가
서버 침해 노출	비밀번호 해시가 유출되어 오프라인에서 크랙 가능	공개 키는 해당 개인 키 없이는 무용지물
자격 증명 재사용	일반적: 성인 52%가 여러 계정에 비밀번호 재사용 (Google/Harris Poll)	불가능: 각 패스키는 단일 도메인 및 계정에만 고유
MFA 요구	별도 요소 필요(SMS, TOTP, 푸시)	내장: 소지(기기) + 고유(생체) 또는 지식(PIN) 단일 단계
로그인 성공률	기존 방식 평균 약 63%	패스키 로그인 93% (FIDO Alliance Passkey Index)
로그인 속도	MFA 사용 시 평균 31.2초	평균 8.5초, 73% 단축 (FIDO Alliance Passkey Index)
헬프데스크 부담	비밀번호 재설정이 IT 지원 비용의 주요 원인	패스키 도입 시 로그인 관련 헬프데스크 문의 81% 감소 보고 (FIDO Alliance Passkey Index)
복구 모델	이메일 또는 SMS 재설정(피싱 가능한 채널 재도입)	플랫폼 관리자 또는 사전 등록된 백업 패스키를 통한 자격 증명 동기화

이러한 패스키와 비밀번호의 비교는 업계가 빠르게 전환하는 이유를 설명합니다. 다음 섹션에서는 패스키 인증을 가능하게 하는 구성 요소를 설명합니다.

패스키 인증의 핵심 구성 요소

패스키 인증은 각 단계에서 자격 증명을 보호하는 프로토콜, 하드웨어, 플랫폼 서비스의 계층화된 스택을 사용합니다. 각 구성 요소는 자격 증명을 피싱 저항성 및 암호화 바인딩 상태로 유지하는 데 특정 역할을 합니다.

1. FIDO2 프로토콜 스택: FIDO2는 두 가지 핵심 사양으로 구성된 프레임워크입니다. W3C Web Authentication 사양으로 정의된 WebAuthn은 브라우저에서 JavaScript 호출을 통해 공개 키 자격 증명을 생성 및 검증하는 API입니다. CTAP(Client to Authenticator Protocol)은 USB, NFC, Bluetooth Low Energy(BLE)를 통해 클라이언트 플랫폼과 인증기 하드웨어 간 통신을 처리합니다. WebAuthn과 CTAP는 애플리케이션, 브라우저, 개인 키를 보호하는 보안 하드웨어를 연결합니다.
2. 인증기 유형:  FIDO Alliance 인증기 사양은 두 가지 범주를 정의합니다. 플랫폼(내장) 인증기는 기기 하드웨어에 직접 통합되어 보안 인클레이브 또는 TPM에 개인 키를 저장합니다. 로밍(크로스 플랫폼) 인증기는 USB, NFC, BLE를 통해 시스템 간 동작하는 외부 하드웨어로, 개인 키가 전용 보안 요소 내에만 남아 있어 가장 강력한 격리를 제공합니다. 인증기 선택은 보증 수준, 복구 계획, 사용자 경험에 영향을 미칩니다.
3. 보안 하드웨어 계층: 모든 패스키의 보안은 인증기가 개인 키를 보호하는 데 달려 있습니다. 하드웨어 보안 키는 물리적·논리적 추출 공격 모두에 저항하도록 설계된 전용 보안 요소를 통해 가장 강력한 보호를 제공합니다.
4. Attestation: 자격 증명 등록 시, attestation을 통해 패스키가 보안 요구 사항(예: 하드웨어 기반 키 저장, FIPS 140-2 인증)을 충족하는 승인된 인증기 모델(AAGUID 식별)에서 생성되었는지 검증할 수 있습니다.

이 네 가지 계층(FIDO2 프로토콜 스택, 인증기 유형, 보안 하드웨어, attestation)은 모든 패스키 상호작용에서 함께 동작합니다. 다음 섹션에서는 등록 및 로그인 과정에서 이들이 어떻게 결합되는지 설명합니다.

패스키 인증의 동작 방식

패스키 라이프사이클에는 등록(자격 증명 생성)과 인증(보유 증명) 두 가지 절차가 있습니다. 두 절차 모두 공개 키 암호화를 사용하는 챌린지-응답 모델을 따릅니다.

등록: 패스키 생성

1. 서버가 챌린지를 생성합니다. 패스키 설정을 시작하면, 신뢰 당사자 서버가 암호화 난수 챌린지와 등록 매개변수(RP 식별자, 사용자 정보, 지원 알고리즘(일반적으로 ES256), 인증기 요구 사항)를 생성합니다.
2. 기기가 키 쌍을 생성합니다. 클라이언트가 credentials.create(challenge)를 호출합니다. 인증기는 보안 하드웨어 내에서 새로운 공개-개인 키 쌍을 생성합니다. 개인 키는 이 보호 경계를 절대 벗어나지 않습니다.
3. 응답이 서명되어 반환됩니다. 기기는 공개 키, 자격 증명 ID, 서명된 챌린지를 서버로 전송합니다. W3C 사양은 전체 원본이 attestation 객체에 암호화 서명되어 자격 증명이 합법 도메인에 바인딩되도록 보장합니다.
4. 서버가 검증 및 저장합니다. 서버는 서명된 챌린지를 확인하고, 원본을 검증하며, attestation(엔터프라이즈 배포 시)을 확인한 후, 계정에 연결된 공개 키와 자격 증명 ID를 저장합니다.

이 시점에서 서버는 공개 키와 자격 증명 ID만 보유하며, 개인 키는 본 적이 없습니다. 이러한 비대칭성이 이후 모든 로그인에서 피싱 저항성을 제공합니다.

인증: 패스키로 로그인

1. 서버가 새로운 챌린지를 발행합니다. 각 로그인 시도마다 새로운 암호화 난수 챌린지가 생성되어 재사용 공격을 방지합니다.
2. 기기가 챌린지를 서명합니다. 클라이언트가 credentials.get(challenge)를 호출합니다. 인증기는 사용자 검증(생체 인식 또는 기기 PIN)을 요청하고, 개인 키를 가져와 서명 카운터를 증가시키며, 인증기 데이터와 클라이언트 데이터 해시를 서명합니다.
3. 서버가 서명을 검증합니다. 저장된 공개 키를 사용해 서버가 서명을 검증하여, 개인 키가 기기를 벗어나지 않고도 사용자가 이를 보유하고 있음을 암호학적으로 증명합니다.

인터셉트된 트래픽에는 재사용 가능한 정보가 없습니다. 각 세션마다 고유한 챌린지를 사용하기 때문입니다. 개인 키는 하드웨어 내에 잠겨 있습니다. 생체 정보는 서버로 전송되지 않으며, 검증은 전적으로 기기 내에서 이루어집니다.

두 절차 모두 패스키가 해당 시점에 사용 중인 기기에 존재한다고 가정합니다. 실제로 사용자는 여러 기기에서 작업하므로, 패스키가 기기 간 어떻게 이동하는지가 중요한 질문이 됩니다.

크로스 플랫폼 동기화

패스키는 기기 바인딩 또는 기기 생태계 전체에 동기화될 수 있습니다.

• 동기화된 패스키는 엔드 투 엔드 암호화를 사용하는 플랫폼 자격 증명 관리자를 통해 복제됩니다.  Apple의 iCloud 키체인 문서에 따르면, Apple은 클라우드 계정이 침해되어도 키체인 내용을 읽을 수 없습니다. 그러나, NIST SP 800-63B는 AAL3 준수를 위해 비수출형(private key non-exportable) 개인 키를 요구하며, 동기화된 패스키는 동기화를 위해 개인 키가 원본 기기를 떠나야 하므로 이 요건을 위반합니다.
• 기기 바인딩 패스키는 인증기 하드웨어를 절대 벗어나지 않으며, NIST SP 800-63B AAL3 등 가장 엄격한 요건을 충족합니다. 동기화된 패스키도 연방 가이드라인 하에서 피싱 저항성 인증을 위한 AAL2 인증기로 인정받습니다.

기기 바인딩과 동기화 패스키의 차이를 이해하면, 이미 패스키가 지원되는 곳과 도입이 진행 중인 곳을 평가할 수 있습니다.

패스키를 지원하는 서비스 및 플랫폼

현재 150억 개 이상의 온라인 계정이 패스키 인증을 지원하며, 상위 100개 웹사이트 중 48%가 로그인 옵션으로 패스키를 제공합니다(FIDO Alliance). 도입은 소비자 플랫폼, 엔터프라이즈 도구, 금융 서비스 전반에 걸쳐 확산되고 있습니다.

• 운영체제 및 브라우저: Apple(iOS, macOS, Safari), Google(Android, Chrome), Microsoft(Windows, Edge)는 패스키 지원을 완전히 통합했습니다. iOS 및 Android 기기의 95% 이상이 패스키 준비가 되어 있으며, Windows는 Windows Hello를 통해 동기화 패스키 지원을 확대하고 있습니다(Biometric Update). BLE 기반 CTAP를 통해 노트북에서 인근 휴대폰에 저장된 패스키로 인증하는 크로스 디바이스 인증이 가능합니다.
• 소비자 플랫폼: Google은 8억 개 이상의 계정에 패스키를 활성화했으며, 비밀번호 대비 4배 더 높은 로그인 성공률을 보고했습니다. Amazon은 1억 7,500만 명 이상의 고객이 패스키를 사용하도록 했습니다. TikTok은 패스키로 97% 인증 성공률을 달성했습니다. PayPal, eBay, GitHub, Target 등 주요 소비자 서비스도 패스키를 지원합니다(FIDO Alliance Passkey Index).
• 엔터프라이즈 및 업무 도구: 엔터프라이즈 도입이 가속화되고 있습니다. HID와 FIDO Alliance 데이터에 따르면 약 87%의 기업이 패스키를 도입했거나 도입 중입니다. Okta, HubSpot, Cisco Duo 등은 패스키 지원을 시작했으며, HubSpot은 로그인 성공률 25% 향상, 비밀번호 및 2단계 인증 대비 4배 빠른 로그인을 보고했습니다(Dashlane Passkey Report).
• 금융 서비스 및 정부: American Express, Bank of America, Wells Fargo 등 은행이 패스키 지원을 시작했습니다. 암호화폐 거래소 Gemini는 모든 사용자에게 패스키를 의무화한 최초의 주요 플랫폼 중 하나가 되었습니다. 공공 부문에서는 호주의 MyGov 서비스가 3천만 명에 가까운 국민에게 패스키를 제공하고 있으며, 유럽연합은 패스키를 핵심 요소로 하는 디지털 신원 지갑 프레임워크를 출시했습니다.

광범위한 플랫폼 지원으로 대부분의 조직이 오늘부터 패스키 파일럿을 시작할 수 있습니다. 그러나 도입이 항상 원활한 것은 아니며, 다음 섹션에서는 계획해야 할 운영상의 과제를 다룹니다.

패스키 도입 시 과제

패스키는 자격 증명 탈취 문제를 해결하지만, 도입 전 계획해야 할 운영상의 과제를 동반합니다.

• 복구 보안 딜레마: 기기 바인딩 패스키가 등록된 유일한 기기를 분실하고 백업이 없다면, 계정은 대체 수단 없이는 사실상 복구 불가 상태가 됩니다. 이메일 또는 SMS를 이용한 기존 복구 방식은 패스키가 제거하려는 취약점을 다시 도입합니다.
• 레거시 시스템 호환성: 구형 애플리케이션은 FIDO2/WebAuthn 지원이 부족한 경우가 많습니다. FIDO Alliance의 엔터프라이즈 패스키 백서에 따르면, 연동 환경에서는 IdP 수준에서 패스키를 구현해 개별 수정 없이 하위 시스템 지원이 가능합니다. 비연동 환경은 각 애플리케이션별로 FIDO를 구현하거나, 먼저 연동 모델로 전환해야 합니다.
• 조직 및 크로스 플랫폼 장벽: 강력한 보안 이점에도 불구하고, 패스키 도입은 리소스, 소유권, 프로세스 변경 문제로 지연될 수 있습니다. 패스키 동작은 플랫폼 및 브라우저별로 다르며, 등록 및 동기화 방식 차이로 교육 및 지원 부담이 증가할 수 있습니다.

이러한 과제는 차단 요소가 아니지만, 도입 후가 아닌 계획 단계에서 신중한 결정을 요구합니다. 다음 모범 사례는 복구, 호환성, 도입 마찰을 직접적으로 해결합니다.

엔터프라이즈 패스키 도입 모범 사례

성공적인 패스키 도입을 위해서는 아키텍처 설계, 계층화된 정책, 단계적 실행이 필요합니다.

• 2단계 자격 증명 전략 수립: 사용자 기반을 위험 프로필 및 보증 수준 요구 사항에 따라 분리하십시오. AAL3 준수가 필요한 특권 계정(관리자, 재무, 규제 접근)은 비수출형 개인 키를 가진 기기 바인딩 패스키 또는 하드웨어 보안 키를 사용해야 합니다. 일반 직원은 동기화 패스키(AAL2 피싱 저항성 요건 충족)를 사용하여 사용성과 플랫폼 기반 복구를 개선할 수 있습니다.
• 3단계로 배포: 구조화된 도입을 실행하십시오. 고가치 애플리케이션(이메일, VPN, HR 시스템)에서 50~100명 파일럿으로 시작해 라이프사이클 및 복구 프로세스를 확립합니다. 이후 추가 애플리케이션 및 사용자로 확장하며, 프로비저닝, 폐기, 감사 워크플로우를 공식화합니다. 마지막으로 패스키를 기본 인증 방식으로 전환하고, 비밀번호 기반 대체는 비상용으로만 유지합니다.
• 도입 전 연동화: 인증 아키텍처가 IdP를 통한 중앙화가 되어 있지 않다면, 이를 먼저 해결하십시오. 연동 환경에서 IdP 수준으로 패스키를 구현하면 하위 애플리케이션별 수정 없이 지원이 가능합니다. 비연동 환경은 각 애플리케이션별로 패스키 지원이 필요해 더 많은 리소스가 요구됩니다.
• 피싱 저항성 복구 설계: SMS 및 이메일 기반 복구를 단계적으로 폐지하고, 시간 제한 복구 메커니즘 및 백업 패스키로 전환하십시오. 복구 토큰은 5~15분 만료, 원본 세션 바인딩, 1회성 사용을 강제해야 합니다. 보조 기기에 등록된 백업 패스키가 가장 강력한 대체 수단입니다.
• 엔터프라이즈 등록 시 attestation 요구: AAGUID 기반 attestation 필터링을 구현해 승인된 인증기 모델만 자격 증명을 등록할 수 있도록 하십시오. 이를 통해 하드웨어 보안 요건을 충족하지 않는 인증기에 패스키 등록을 방지할 수 있습니다.
• 맞춤형 교육 투자: 교육 프로그램에는 다양한 기기 유형에서의 패스키 등록, 분실 기기 복구 절차, 대체 인증 사용, 정책 변경의 보안적 근거가 포함되어야 합니다. 플랫폼별 불일치로 인해 실습 교육이 문서보다 효과적입니다.
• 초기부터 감사 로그 구현: 모든 등록 이벤트, 인증 시도, 복구 조치, 자격 증명 폐기를 SIEM에 기록하십시오. 패스키 라이프사이클 이벤트를 통합해 ISO 27001 통제 목표 및 SOC 2 CC6 논리적 접근 보안 요건을 지원하는 감사 추적을 유지하십시오. SentinelOne의 SIEM 가이드와 XDR 개요를 참고해 신원 텔레메트리를 엔드포인트 및 클라우드 신호와 연계할 수 있습니다.

이러한 운영 기반은 패스키를 감사 준비가 된 통제로 전환할 수 있게 하며, 이는 컴플라이언스 및 규제 기관의 기대와 연결됩니다.

패스키 인증의 컴플라이언스 및 규제 동인

규제 압력은 패스키 도입을 가속화하고 있습니다. CISA는 모든 기업에 이메일, VPN, 중요 인프라 시스템에 대해 피싱 저항성 MFA 구현을 권고합니다. CISA와 NIST는 인증 토큰의 변조, 탈취, 재사용 공격 방지에 관한 초안 보고서도 발간했습니다. NIST SP 800-63B는 AAL2에 피싱 저항성 옵션을, AAL3에 비수출형 개인 키를 가진 피싱 저항성 인증기를 요구합니다.

패스키를 감사에 맞추려면 일반적으로 세 가지를 입증해야 합니다:

• 통제 매핑: 패스키가 기존 접근 통제 목표(예: ISO 27001 Annex A 접근 통제 요건)를 어떻게 충족 또는 초과하는지 문서화합니다.
• 위험 평가: 도입으로 발생하는 위험(기기 분실, 벤더 종속, 복구 복잡성, 다운그레이드 공격)과 보완 통제를 기록합니다.
• 증거 및 집행: 구현 문서 유지, 정책 집행 증명, 인증 및 복구 이벤트에 대한 감사 추적을 유지합니다.

이 항목들을 패키징하면 패스키를 보안 업그레이드이자 감사 친화적 통제 세트로 포지셔닝할 수 있습니다. 인증은 신원 공격 표면의 한 계층에 불과하며, 패스키를 둘러싼 도구가 위협이 로그인 프롬프트를 넘어 확장될 때 얼마나 신속히 탐지·대응할 수 있는지를 결정합니다.

SentinelOne으로 패스키 인증 강화

패스키는 인증 계층에서 자격 증명 기반 공격을 제거하지만, 신원 보안은 로그인 프롬프트를 넘어 확장됩니다. 세션 토큰 탈취, 수평 이동, 신원 기반 지속성은 모두 인증 이후 단계에서 발생합니다. Singularity Identity는 엔드포인트 및 신원 활동을 연계해, 패스키가 일부만 적용된 상황에서도 맥락 기반 탐지 및 신속한 트리아지를 지원합니다. Active Directory 및 SecureAuth, Ping, Duo, Entra ID, Okta 등 클라우드 신원 공급자를 강화하고, 침입자를 조기에 포착하는 기만 기술을 배포하며, 자격 증명 탈취 및 권한 상승을 실시간으로 탐지합니다.

Purple AI는 자연어 쿼리를 크로스 도메인 검색으로 변환해 신원 관련 경보 조사를 가속화합니다. Purple AI를 사용하는 조직은 최대 55% 빠른 위협 조치 및 40~50% 조사 시간 단축을 보고했습니다(IDC 리서치).

SentinelOne은 2024년 MITRE ATT&CK 평가에서 전체 벤더 중 중앙값 대비 88% 적은 경보를 생성하여(MITRE ATT&CK 평가 결과), 실제 사고에 집중할 수 있도록 지원합니다.

패스키, 엔드포인트, 신원 텔레메트리를 중앙화하면, Singularity AI SIEM에서 정규화된 보안 이벤트를 신속하게 저장·수집해 헌팅 및 포렌식 속도를 높일 수 있습니다. SentinelOne의 사이버 보안 101 허브는 내부 런북을 위한 개념을 제공합니다. SentinelOne 데모 신청을 통해 신원, 엔드포인트, 클라우드 텔레메트리가 하나의 플랫폼에서 어떻게 통합되는지 확인하십시오.

핵심 요약

패스키란 무엇인가? 본질적으로, 패스키는 공유 비밀 대신 비대칭 암호화를 사용하는 암호화 자격 증명으로, 침해 사고의 22%를 차지하는 자격 증명 탈취 위험을 제거합니다(Verizon 2024 DBIR). 엔터프라이즈 도입에는 2단계 자격 증명 전략이 필요합니다: AAL3 준수 특권 계정에는 기기 바인딩 패스키, 일반 직원에는 동기화 패스키를 적용하십시오. 

피싱 저항성 복구 워크플로우를 구축하고, 인증 아키텍처를 연동화하며, 단계적으로 도입하십시오. CISA와 NIST의 규제 요구가 도입을 가속화하고 있습니다.

자주 묻는 질문

패스키란 무엇인가요?

패스키는 비대칭 공개-개인 키 쌍 암호화를 사용하여 비밀번호를 대체하는 FIDO2 프로토콜 기반의 암호화 인증 자격 증명입니다. 사용자의 디바이스는 보안 하드웨어 내에 개인 키를 생성 및 저장하고, 공개 키는 서버로 전송됩니다. 

로그인 시 서버가 챌린지를 발급하면, 사용자의 디바이스가 개인 키로 이를 서명하고, 서버는 서명을 검증합니다. 개인 키는 절대 디바이스를 벗어나지 않으므로 자격 증명 탈취 및 피싱이 구조적으로 불가능합니다.

패스키와 비밀번호의 차이점은 무엇인가요?

패스키와 비밀번호의 차이는 아키텍처에 있습니다. 비밀번호는 기기와 서버 모두에 저장되는 공유 비밀입니다. 서버가 침해되면 비밀번호가 노출됩니다. 패스키는 비대칭 암호화를 사용하며, 개인 키는 기기 하드웨어에만 저장되고 서버에는 공개 키만 저장됩니다. 

서버가 완전히 침해되어도 사용 가능한 자격 증명이 노출되지 않습니다. 또한 패스키는 합법적인 도메인에 암호학적으로 바인딩되어 피싱이 불가능합니다.

패스키가 피싱되거나 가로채질 수 있나요?

패스키는 WebAuthn이 합법적인 웹사이트 출처(신뢰 당사자 ID 및 출처 바인딩)를 포함한 데이터를 서명하기 때문에 피싱에 강합니다. 유사 도메인에 접속하면 브라우저와 인증기는 해당 출처에 대해 유효한 어설션을 제공하지 않으므로, 사용자가 승인을 하더라도 로그인이 실패합니다. 

공격자가 트래픽을 가로채더라도 해당 세션에만 연결된 일회성 서명 챌린지 응답만 획득할 수 있습니다. 챌린지가 고유하므로 재사용이 불가능합니다.

패스키가 저장된 기기를 분실하면 어떻게 되나요?

동기화된 패스키를 사용하면 iCloud 키체인과 같은 서비스를 통해 자격 증명이 기기 생태계 전반에 복제되어, 한 기기를 분실하더라도 복구가 가능합니다. 기기에 종속된 패스키의 경우, 개인 키가 원래 기기를 절대 벗어나지 않으므로 별도의 기기나 하드웨어 키에 사전 등록된 백업 패스키가 필요합니다. 

엔터프라이즈 환경에서는 이메일이나 SMS 대체 수단에 의존하지 말고, 시간 제한 토큰과 신원 확인을 포함한 관리형 복구 워크플로우를 구현해야 합니다.

패스키가 SOC 2, ISO 27001과 같은 엔터프라이즈 컴플라이언스 요구사항을 충족하나요?

동기화된 패스키는 NIST AAL2 요구사항을 충족하며 피싱 저항 인증자로 인정받습니다. 하드웨어 보안 키에 저장된 디바이스 바인딩 패스키는 NIST AAL3 요구사항을 충족합니다. 

조직은 패스키 통제를 SOC 2 Common Criteria 6, ISO 27001 접근 제어 목표 등 각자의 컴플라이언스 프레임워크에 매핑하는 위험 평가를 수행해야 하며, 적절한 감사 로그와 문서화된 절차가 필요합니다.

패스키는 다양한 운영체제와 브라우저에서 어떻게 작동하나요?

각 주요 플랫폼은 패스키 저장을 위한 자체 자격 증명 관리자를 제공합니다. 동기화된 패스키는 엔드 투 엔드 암호화를 통해 생태계 내에서 복제됩니다. 기기 간 인증은 Bluetooth Low Energy(BLE)를 통한 CTAP을 사용하여, 인근 휴대폰에 저장된 패스키로 노트북에서 인증할 수 있습니다. 

WebAuthn에 대한 브라우저 지원은 광범위하게 제공되므로, 실제 도입 시에는 브라우저 활성화보다 사용자 교육 및 복구 설계에 더 중점을 둡니다.