패스키 vs 비밀번호 — 2026년에 알아야 할 모든 것

비밀번호는 수십 년간 온라인 계정을 보호하는 표준이었습니다. 하지만 재사용, 분실, 피싱 공격 등 잘 알려진 문제가 있습니다. 패스키(Passkey)는 이런 문제를 해결하기 위해 등장한 새로운 인증 방식으로, 비밀번호를 완전히 대체하도록 설계되었습니다.

이 글에서는 패스키가 무엇인지, 어떤 원리로 작동하는지, 비밀번호 대비 장단점, 그리고 현재 도입 현황을 정리합니다.

패스키란?

패스키는 사용자 이름과 비밀번호를 대체하는 암호학적 인증 정보입니다. 비밀번호를 입력하는 대신, 기기의 내장 보안 기능(지문, 얼굴 인식, 기기 PIN)으로 인증합니다.

패스키는 FIDO2 표준을 기반으로 하며, 브라우저가 사용하는 WebAuthn API와 하드웨어 보안 키가 사용하는 CTAP를 포함합니다.

패스키 작동 원리 (간단 설명)

1. 등록: 패스키를 만들면 기기가 고유한 공개키-비공개키 쌍을 생성합니다. 공개키는 웹사이트로 전송되고, 비공개키는 기기에 남아 외부로 나가지 않습니다.
2. 로그인: 웹사이트가 챌린지를 보내면, 기기가 본인 확인(지문, 얼굴, PIN) 후 비공개키로 서명합니다. 웹사이트는 공개키로 서명을 검증합니다.
3. 공유되는 비밀 없음: 비밀번호와 달리 민감한 정보가 전송되거나 서버에 저장되지 않습니다. 훔치거나 피싱하거나 유출될 비밀번호 자체가 없습니다.

패스키 vs 비밀번호: 직접 비교

항목	비밀번호	패스키
피싱 저항력	낮음 — 가짜 사이트에 입력 가능	높음 — 정상 도메인에만 작동
무차별 대입 저항력	비밀번호 강도에 따라 다름	면역 — 추측할 비밀번호 없음
데이터 유출 위험	높음 — 해시된 비밀번호 해독 가능	없음 — 서버에 공개키만 저장
사용자 수고	만들고, 기억하고, 입력해야 함	지문 찍거나 카메라 보기
재사용 위험	매우 흔함	불가능 — 각 패스키가 고유
2FA 필요성	추가 레이어로 자주 필요	내장 — 기기 소유 + 생체인식
복구	이메일로 비밀번호 재설정	기기 의존적 (제한사항 참조)

패스키의 장점

1. 피싱이 사실상 차단됨

패스키는 웹사이트 도메인에 암호학적으로 바인딩됩니다. 공격자가 g00gle.com에 가짜 로그인 페이지를 만들어도, 패스키는 작동하지 않습니다.

2. 외울 것이 없음

잊어버릴 비밀번호도, 복잡성 요구사항도, 주기적 변경 정책도 없습니다. 이미 사용하는 생체인식이나 기기 PIN으로 인증합니다.

3. 유출될 비밀번호가 없음

서버에 공개키만 저장되므로, 데이터 유출이 발생해도 공격자에게 유용한 정보가 노출되지 않습니다.

4. 이중 인증이 내장됨

패스키는 본질적으로 두 가지 인증 요소를 결합합니다: 소유(기기)와 본인(생체인식) 또는 지식(기기 PIN). 별도의 2FA가 필요 없습니다.

패스키의 한계

1. 기기 의존성

모든 기기에 대한 접근을 잃고 복구 방법도 설정하지 않았다면, 계정 복구가 어려울 수 있습니다. 클라우드 동기화(Apple 키체인, Google 비밀번호 관리자, 1Password)로 개선되고 있지만 여전히 우려 사항입니다.

2. 아직 보편적으로 지원되지 않음

Google, Apple, Microsoft 등 주요 플랫폼은 패스키를 지원하지만, 많은 웹사이트와 서비스는 아직 구현하지 않았습니다. 대부분의 계정에서 비밀번호는 여전히 필요합니다.

3. 크로스 플랫폼 경험이 일관적이지 않음

iPhone에서 만든 패스키로 Windows PC에 로그인하려면 블루투스와 QR 코드 스캔이 필요합니다. 작동은 하지만 하나의 생태계 내에서만큼 매끄럽지는 않습니다.

4. 공유 계정이 어려움

패스키로 보호된 계정(가족 스트리밍 등)을 공유하는 것은 비밀번호를 공유하는 것보다 복잡합니다.

현재 도입 현황 (2026년)

플랫폼/서비스	패스키 지원
Google	완전 지원
Apple	완전 지원 (iCloud 키체인 동기화)
Microsoft	완전 지원 (Windows Hello)
Amazon	지원
GitHub	지원
PayPal	지원
1Password	패스키 저장 및 동기화
Bitwarden	패스키 저장 및 동기화
대부분의 뱅킹 앱	제한적 — 기관별 상이
대부분의 소규모 웹사이트	미지원

추세는 분명합니다. 주요 플랫폼은 패스키로 이동하고 있지만, 비밀번호가 완전히 사라지려면 수년이 걸릴 것입니다.

패스키로 전환해야 할까?

가능한 곳에서 패스키 사용

패스키를 지원하는 모든 서비스에서 활성화하세요. 해당 계정의 피싱 위험이 즉시 제거됩니다.

나머지는 비밀번호 유지

아직 패스키를 지원하지 않는 서비스에서는 비밀번호 관리자에 저장된 강력하고 고유한 비밀번호를 계속 사용하세요.

비밀번호를 삭제하지 마세요

패스키를 지원하는 대부분의 서비스는 여전히 비밀번호 로그인을 대체 수단으로 제공합니다. 복구 옵션으로 비밀번호를 유지하세요.

자격증명 공유는 어떻게?

패스키는 보안 문제를 해결하지만 공유라는 새로운 과제를 만듭니다. 비밀번호처럼 패스키를 복사해서 붙여넣을 수는 없습니다.

팀 계정, 공유 서비스, 임시 자격증명 등 접근 권한을 공유해야 하는 상황에서는 비밀번호 기반 공유가 현실적입니다. 비밀번호를 공유할 때는 카카오톡처럼 기록이 남는 앱에 붙여넣지 마세요. 대신 LOCK.PUB에서 만료 시간이 있는 비밀 메모를 만들어 공유하세요. 설정한 시간이 지나면 자격증명이 사라집니다.

인증의 미래

패스키는 비밀번호 발명 이래 가장 큰 인증 방식의 전환입니다. 기기 의존성, 제한된 도입, 크로스 플랫폼 마찰 등 아직 완벽하지는 않지만, 비밀번호의 근본적 취약점인 피싱, 재사용, 유출 노출을 제거합니다.

패스키를 지원하는 곳에서는 패스키를, 그 외에는 좋은 비밀번호 습관을 유지하는 것이 현실적인 방법입니다. 비밀번호를 안전하게 공유해야 한다면, LOCK.PUB에서 만료 시간이 있는 비밀 메모를 만들어 보세요.

비밀 메모 만들기 -->