패스키가 뭐길래 비밀번호 없이 로그인될까? 얼굴·지문 로그인 원리 쉽게 이해하기

요즘 구글이나 마이크로소프트 계정에 로그인하다 보면 비밀번호 대신 패스키를 만들겠냐는 안내가 자주 뜹니다.

설명을 읽어보면 얼굴이나 지문, 휴대전화 잠금 PIN으로 로그인할 수 있다고 합니다. 여기까지 보면 기존의 지문 로그인과 크게 다르지 않아 보입니다.

그런데 패스키는 단순히 비밀번호 입력을 생략해주는 기능이 아닙니다.

기존 비밀번호는 사람이 직접 만들고, 기억하고, 사이트에 입력합니다. 반면 패스키는 기기가 로그인에 필요한 디지털 열쇠를 만들어 보관하고, 사용자는 얼굴·지문·PIN으로 그 열쇠를 사용할 수 있도록 허락하는 방식입니다.

그래서 가짜 로그인 사이트에 비밀번호를 잘못 입력해 계정을 빼앗기는 위험도 크게 줄어듭니다.

어렵게 느껴지지만 실제 사용법은 오히려 더 단순합니다.

패스키는 비밀번호를 저장한 것이 아니다

패스키를 처음 접하면 이런 생각이 들 수 있습니다.

휴대전화 안에 비밀번호를 저장해두고 자동으로 넣어주는 건가?

그건 아닙니다.

패스키를 만들면 서로 짝을 이루는 두 개의 디지털 열쇠가 만들어집니다.

하나는 내 스마트폰이나 PC에 보관되고, 다른 하나는 로그인하려는 서비스에 등록됩니다. 중요한 쪽은 내 기기에 남아 있기 때문에 사이트가 내 비밀번호를 보관하고 있을 필요가 없습니다. FIDO Alliance는 이 방식을 공개키 암호화에 기반한 로그인 방식으로 설명합니다.

일반 사용자가 이 구조를 외울 필요는 없습니다.

조금 단순하게 보면 이렇게 이해할 수 있습니다.

비밀번호 로그인

내가 아는 암호를 사이트에 알려주고 맞는지 확인받는다.

패스키 로그인

내 기기가 진짜 열쇠를 가지고 있다는 사실만 증명한다.

이 차이가 꽤 큽니다.

사이트에 직접 비밀번호를 입력하지 않으니 내가 실수로 가짜 사이트에 암호를 넘겨줄 가능성도 줄어듭니다.

얼굴이나 지문 자체가 인터넷으로 전송되는 것도 아니다

패스키에서 자주 나오는 오해가 하나 더 있습니다.

얼굴이나 지문을 구글이나 웹사이트에 보내는 건가?

그렇지 않습니다.

얼굴 인식과 지문 인식은 내 기기 안에서 잠금을 푸는 역할을 합니다.

예를 들어 스마트폰에 저장된 패스키를 사용하려고 하면 휴대전화가 먼저 이 기기의 주인이 맞는지를 확인합니다.

그때 쓰는 것이 얼굴, 지문 또는 화면 잠금 PIN입니다.

Google은 패스키 로그인에 사용하는 생체 정보가 기기에 보관되며 Google과 공유되지 않는다고 설명합니다. Apple과 FIDO Alliance도 같은 구조를 안내하고 있습니다.

즉 구조는 다음과 같습니다.

단계실제로 일어나는 일

로그인 요청	사이트가 패스키 로그인을 요청
본인 확인	스마트폰·PC에서 얼굴, 지문, PIN 확인
기기 내부 처리	저장된 패스키 사용 허용
사이트 확인	디지털 열쇠가 맞는지 확인
로그인 완료	비밀번호 입력 없이 접속

사이트가 받는 것은 내 지문 사진이나 얼굴 정보가 아니라 정상적인 패스키를 가지고 있다는 증명입니다.

그럼 지문 로그인과 패스키는 뭐가 다른가

여기서 조금 헷갈릴 수 있습니다.

예전에도 은행 앱이나 스마트폰 앱에서 지문으로 로그인할 수 있었습니다.

차이는 지문이 무엇을 열어주는지입니다.

기존 방식에서는 저장해둔 비밀번호나 앱 내부의 로그인 정보를 지문으로 불러오는 경우도 있었습니다.

패스키에서는 지문이 비밀번호 대신 쓰이는 디지털 열쇠를 사용할 수 있도록 잠금을 풀어주는 역할을 합니다.

따라서 지문 자체가 패스키는 아닙니다.

얼굴 인식도 마찬가지입니다.

패스키를 사용할 때는 얼굴이든 지문이든 PIN이든 내 기기에서 본인을 확인하는 방법 중 하나일 뿐입니다.

패스키가 피싱에 강한 이유

비밀번호의 가장 큰 약점 가운데 하나는 사람이 직접 입력한다는 점입니다.

예를 들어 진짜 구글 로그인 화면과 거의 똑같은 가짜 사이트가 있다고 해보겠습니다.

주소를 제대로 확인하지 않고 이메일과 비밀번호를 입력하면 공격자에게 그대로 넘어갈 수 있습니다.

비밀번호는 사용자가 어디에 입력하는지 스스로 판단해야 합니다.

패스키는 조금 다르게 작동합니다.

패스키는 특정 사이트와 연결되어 있기 때문에 엉뚱한 사이트에서는 원래 사이트의 패스키를 사용할 수 없습니다. FIDO Alliance와 Apple은 이런 구조 때문에 패스키가 피싱에 강하다고 설명합니다.

쉽게 말하면 일반 열쇠와 비슷합니다.

집 열쇠를 옆집 현관에 넣는다고 문이 열리지 않는 것처럼, 구글용으로 만든 패스키를 비슷하게 생긴 다른 사이트에서 그대로 사용할 수 없습니다.

상황비밀번호패스키

가짜 사이트 접속	직접 입력하면 유출될 수 있음	원래 사이트용 패스키 사용 불가
같은 암호 재사용	다른 사이트까지 위험해질 수 있음	서비스마다 별도 키 사용
암호 외우기	필요	필요 없음
메모장에 적기	가능하지만 위험	사람이 직접 기록하는 방식 아님
얼굴·지문 사용	자동입력 보조 등 다양한 방식	기기 내 패스키 사용 승인
사이트 정보 유출	저장된 암호가 문제될 수 있음	같은 형태의 공유 비밀번호가 없음

이 점 때문에 Google, Apple, Microsoft 모두 패스키를 비밀번호를 대체하는 방향의 로그인 방식으로 안내하고 있습니다.

휴대전화를 잃어버리면 계정도 못 쓰는 걸까

패스키를 설명하면 가장 먼저 나오는 걱정입니다.

그 열쇠가 스마트폰 안에 있는데 휴대전화를 잃어버리면 어떡하지?

패스키는 저장 방식에 따라 조금 다릅니다.

많이 사용하는 방식은 Google Password Manager나 iCloud 키체인 같은 서비스에 패스키를 안전하게 동기화하는 것입니다.

이 경우 같은 계정으로 로그인한 새 기기에서 패스키를 다시 사용할 수 있습니다. FIDO Alliance도 동기화형 패스키가 여러 기기에서 사용할 수 있도록 설계되어 있다고 설명합니다.

아이폰에서는 패스키가 iCloud 키체인을 통해 같은 Apple 계정의 기기에서 사용할 수 있고, Microsoft 역시 동기화되는 자격 증명 관리자를 이용하면 여러 기기에서 패스키를 쓸 수 있다고 안내합니다.

다만 여기서 중요한 점이 있습니다.

패스키를 만들었다고 계정 복구 수단까지 사라지는 것은 아닙니다.

Google의 경우 패스키를 추가해도 기존 계정 인증이나 복구 수단이 자동으로 삭제되지 않습니다.

즉 패스키 하나 때문에 스마트폰 한 대가 계정의 유일한 생명줄이 되는 구조라고 생각할 필요는 없습니다.

다른 사람 PC에서도 내 패스키로 로그인할 수 있다

패스키는 내 스마트폰에서만 사용할 수 있는 것도 아닙니다.

예를 들어 친구 노트북이나 공용 PC에서 내 계정에 로그인해야 할 때가 있습니다.

이런 경우 로그인 화면에서 다른 기기의 패스키 사용을 선택하면 QR 코드가 나타날 수 있습니다.

그 QR 코드를 내 스마트폰으로 스캔하고 얼굴이나 지문으로 본인 인증을 하면 로그인할 수 있습니다.

Apple은 다른 기기에서 QR 코드를 이용해 아이폰에 저장된 패스키를 사용하는 방법을 안내하고 있습니다. FIDO Alliance 역시 가까운 다른 기기를 이용한 로그인 방식을 지원한다고 설명합니다.

이 방법의 장점은 공용 PC 키보드에 내 비밀번호를 입력하지 않아도 된다는 점입니다.

로그인을 끝낸 뒤 공용 기기에 패스키를 새로 저장하지 않는 것도 중요합니다.

패스키를 만들면 비밀번호가 바로 없어질까

서비스마다 다릅니다.

Google 계정의 경우 패스키를 추가했다고 기존 비밀번호와 복구 수단이 바로 사라지지는 않습니다. 설정에 따라 패스키를 우선 사용하면서 필요할 때 비밀번호로 로그인할 수도 있습니다.

다른 사이트 역시 패스키와 비밀번호를 함께 제공하는 경우가 많습니다.

그래서 지금은 완전히 비밀번호가 사라진 세상이라기보다 비밀번호 없이 로그인할 수 있는 선택지가 점점 늘어나는 과정에 가깝습니다.

패스키를 지원하지 않는 사이트에서는 당연히 기존 비밀번호를 계속 사용해야 합니다.

PIN을 쓰면 결국 숫자 암호 아닌가

Windows에서 패스키를 사용하다 보면 얼굴이나 지문 대신 PIN을 입력하는 경우가 있습니다.

여기서 또 헷갈립니다.

PIN도 숫자인데 비밀번호랑 뭐가 다른가?

둘은 쓰이는 범위가 다릅니다.

온라인 서비스 비밀번호는 인터넷을 통해 해당 서비스에 로그인하는 정보입니다.

반면 Windows Hello PIN은 해당 Windows 기기의 본인 확인에 사용됩니다. Microsoft도 Windows PIN이 특정 기기에 연결되어 있다고 설명합니다.

그래서 누군가 내 PIN만 알아낸다고 해서 다른 컴퓨터에서 그대로 내 온라인 계정에 로그인할 수 있는 구조는 아닙니다.

패스키를 사용할 때 PIN을 입력하는 것은 그 PIN을 사이트에 보내는 것이 아니라 내 PC 안의 패스키를 사용할 권한을 푸는 과정입니다.

2단계 인증은 이제 필요 없는 걸까

무조건 그렇다고 보기는 어렵습니다.

패스키는 그 자체로 매우 강한 로그인 방법입니다.

Google의 경우 2단계 인증이 설정된 계정에서 패스키로 로그인하면 기기를 가지고 있다는 사실과 기기 잠금 해제를 동시에 확인하기 때문에 별도의 두 번째 인증 단계를 건너뛸 수 있습니다.

Microsoft도 패스키가 기기를 가지고 있는 요소와 얼굴·지문·PIN 같은 본인 확인 요소를 함께 사용한다고 설명합니다.

다만 모든 사이트가 같은 방식으로 로그인 정책을 운영하는 것은 아닙니다.

따라서 패스키를 만들었으니 기존 보안 설정은 전부 지워도 된다고 단순하게 생각하기보다 해당 서비스의 보안 설정을 그대로 확인하는 편이 낫습니다.

패스키도 아무 기기에나 만들면 안 된다

패스키가 편하다고 해서 사용하는 모든 컴퓨터에 만들어두는 것은 좋지 않습니다.

특히 회사 공용 PC, PC방, 학교 공용 컴퓨터처럼 여러 사람이 사용하는 기기는 피하는 편이 좋습니다.

Google도 개인적으로 소유하고 사용하는 기기에만 패스키를 만들 것을 안내합니다. 패스키가 저장된 기기를 잠금 해제할 수 있는 사람이라면 해당 계정에 접근할 가능성이 있기 때문입니다.

기기를 판매하거나 다른 사람에게 넘길 때도 확인해야 합니다.

단순히 웹사이트에서 로그아웃하는 것과 저장된 패스키를 삭제하는 것은 별개일 수 있습니다.

Windows 11에서는 설정 → 계정 → 패스키에서 Windows에 저장된 패스키를 확인하고 삭제할 수 있습니다. Microsoft 계정이나 다른 패스키 관리 서비스에 저장했다면 해당 서비스에서 관리해야 합니다.

Google 계정에서 패스키를 만들면 어떻게 보일까

Google 계정에서는 패스키를 비교적 쉽게 시험해볼 수 있습니다.

Google 계정의 로그인 보안 설정에서 패스키를 생성하면 현재 사용 중인 스마트폰이나 PC의 잠금 방식으로 본인 인증을 진행합니다.

이후 로그인할 때는 비밀번호 대신 이런 화면을 보게 됩니다.

지문을 사용하세요

또는

기기의 화면 잠금을 사용하세요

사용자는 평소 휴대전화를 잠금 해제하듯 인증하면 됩니다.

여기서 중요한 것은 패스키를 만들 때 사용하는 기기입니다.

집에서 나 혼자 사용하는 스마트폰이나 개인 노트북은 적합합니다.

여러 명이 잠금 번호를 알고 있는 태블릿이나 공용 PC라면 피하는 편이 낫습니다.

비밀번호 관리자와 패스키는 경쟁 관계가 아니다

패스키가 등장하면 기존 비밀번호 관리자는 필요 없어지는 것처럼 들릴 수도 있습니다.

실제로는 함께 쓰이는 경우가 많습니다.

Google Password Manager, Apple의 Passwords 및 iCloud 키체인, Microsoft Password Manager와 같은 도구는 비밀번호뿐 아니라 패스키도 저장하고 여러 기기에서 동기화할 수 있습니다.

그래서 앞으로는 비밀번호 관리자라기보다 로그인 정보를 관리하는 도구에 가까워질 가능성이 큽니다.

예전에는 사이트마다 비밀번호를 저장했다면, 이제는 같은 공간에 비밀번호와 패스키가 함께 들어가는 식입니다.

지금 패스키가 뜨면 만들어도 될까

개인 기기에서 사용하는 주요 계정이라면 굳이 피할 이유는 많지 않습니다.

특히 Google이나 Microsoft처럼 공식적으로 패스키를 지원하고 있고, 자신의 스마트폰이나 PC에 화면 잠금도 제대로 설정되어 있다면 사용법 자체는 어렵지 않습니다.

다만 다음 정도는 확인하는 편이 좋습니다.

상황패스키 생성 판단

개인 스마트폰	사용하기 좋음
개인 Windows PC	사용하기 좋음
개인 Mac·iPhone	사용하기 좋음
가족이 함께 쓰는 태블릿	잠금 공유 여부 확인 필요
회사 공용 PC	저장하지 않는 편이 좋음
PC방·도서관 PC	저장하지 말 것
화면 잠금이 없는 기기	먼저 기기 보안 설정 권장

패스키를 처음 만들 때는 낯선 단어가 많아서 오히려 복잡해 보입니다.

하지만 실제 사용 단계에서는 훨씬 단순합니다.

사이트가 패스키를 요청하면 휴대전화나 PC에서 얼굴, 지문 또는 PIN으로 확인하면 끝입니다.

비밀번호를 만들 때처럼 대문자 하나, 숫자 하나, 특수문자 하나를 섞을 필요도 없고 그 암호를 다음 달까지 기억하고 있을 필요도 없습니다.

결국 패스키는 ‘비밀번호를 더 편하게 입력하는 기술’이 아니다

패스키를 가장 쉽게 이해하려면 자동 로그인과 구분하면 됩니다.

자동 로그인은 기존 비밀번호를 저장했다가 대신 입력해주는 방식에 가깝습니다.

패스키는 애초에 로그인할 때 비밀번호라는 공유 암호를 쓰지 않는 방식입니다.

내 기기에는 디지털 열쇠가 있고, 사이트에는 그 열쇠가 진짜인지 확인할 수 있는 정보가 있습니다. 얼굴이나 지문은 그 열쇠를 꺼내 쓰기 전에 내 기기에서 신원을 확인합니다.

그래서 패스키의 장점은 비밀번호를 안 외워도 된다에서 끝나지 않습니다.

가짜 로그인 페이지에 암호를 입력할 위험을 줄이고, 사이트마다 같은 비밀번호를 반복해서 사용하는 문제도 피할 수 있습니다.

다음에 Google이나 Microsoft 로그인 화면에서 패스키 만들기가 나타난다면 정체를 모르는 새 기능으로 볼 필요는 없습니다.

내 스마트폰이나 PC를 계정의 디지털 열쇠로 사용하는 방식이라고 생각하면 가장 이해하기 쉽습니다.