기기에 저장되는 이 피싱 방지형 비밀번호 없는 인증 수단을 무엇이라고 부를까?

패스키는 공개키 암호화 방식으로 작동합니다. 기기가 한 쌍의 키를 생성하는데, 사용자의 휴대폰이나 컴퓨터에만 남는 개인 키와 웹사이트가 저장하는 공개 키로 나뉩니다. 로그인할 때 웹사이트가 던지는 질문에는 오직 개인 키만이 올바르게 답할 수 있으므로, 해커가 가로챌 만한 공유된 비밀번호가 인터넷을 오가지도, 훔쳐갈 만한 비밀번호 데이터베이스가 존재하지도 않습니다.

패스워드 매니저는 전통적인 비밀번호를 저장하고 자동으로 채워줄 뿐이므로, 여전히 어딘가에 훔쳐갈 만한 비밀이 존재합니다. 유용한 도구이긴 하지만 FIDO 얼라이언스가 표준화하고 있는 비밀번호 없는 인증 방식은 아니죠. 일회용 PIN은 문자나 앱으로 전송되는 임시 코드로, 추가 인증에는 유용하지만 여전히 피싱이나 가로채기가 가능한 공유된 비밀입니다.

패스키는 절대 기기 밖으로 나가지 않기 때문에, 사용하던 웹사이트가 해킹당하더라도 공격자는 쓸모없는 공개 키만 얻게 됩니다. 이 때문에 주요 기업들이 수십 년간 이어진 위험한 비밀번호 습관을 이 방식으로 대체하려 앞다투고 있습니다.