어느 날 아침, 출근길 지하철에서 쇼핑앱에 들어가려는데 로그인이 되지 않는다. 비밀번호를 세 번 틀렸고, '비밀번호 찾기'를 눌러 문자 인증을 거쳐 새 비밀번호를 만들었다. 그런데 이 새 비밀번호를 만들면서 무엇을 썼는지, 일주일 뒤의 나는 또 기억하지 못할 것이다. 이 작은 소동이 반복되는 이유는 하나다. 비밀번호라는 방식 자체가 사람의 기억력에 너무 많은 걸 기대하기 때문이다.
비밀번호는 왜 늘 약한 고리가 되는가
서비스마다 다른 비밀번호를 쓰라는 조언은 맞지만, 현실에서는 가입한 사이트가 수십 개다. 그래서 사람들은 같은 비밀번호를 돌려 쓰거나, 끝에 숫자만 바꿔 붙인다. 문제는 한 곳에서 유출된 정보가 다른 곳의 문을 여는 열쇠로 그대로 쓰인다는 점이다. 이른바 '크리덴셜 스터핑'이다.
여기에 가짜 로그인 화면으로 비밀번호를 빼내는 피싱까지 더해지면, 아무리 복잡한 비밀번호도 입력하는 순간 무력해질 수 있다. 비밀번호는 '내가 아는 것'인데, 아는 것은 누구에게든 말해 버릴 수 있기 때문이다.
비밀번호를 강하게 만드는 일보다, 비밀번호를 아예 입력하지 않는 구조가 더 안전할 수 있다.
패스키는 무엇이 다른가
패스키(passkey)는 비밀번호 대신 쓰는 로그인 방식이다. 원리를 아주 단순하게 말하면 열쇠 한 쌍이다. 내 기기 안에는 '개인 열쇠'가 저장되고, 서비스 서버에는 그와 짝이 되는 '공개 열쇠'만 저장된다. 로그인할 때 서버가 문제를 내면, 내 기기가 개인 열쇠로 답을 만들어 보낸다. 개인 열쇠 자체는 기기 밖으로 나가지 않는다.
그 개인 열쇠를 꺼내 쓰려면 지문, 얼굴 인식, 혹은 기기 화면 잠금 해제가 필요하다. 그래서 사용자가 하는 일은 사실상 "내가 맞다"고 기기에 확인시켜 주는 것 하나다. 외울 것도, 입력할 것도 없다.
피싱에 강한 이유
패스키의 장점은 편리함만이 아니다. 패스키는 등록된 사이트의 주소와 묶여 작동하도록 설계되어 있다. 그래서 주소가 살짝 다른 가짜 사이트에서는 기기가 아예 응답하지 않는다. 사람은 가짜 화면에 속을 수 있지만, 기기는 주소가 다르면 속지 않는다.
또 서버에는 공개 열쇠만 있으므로, 서비스가 해킹당해도 그 정보만으로는 로그인할 수 없다. 비밀번호 유출 사고의 가장 큰 뒷감당이 사라지는 셈이다.
내 폰을 잃어버리면 어떻게 되나
가장 먼저 나오는 걱정이다. 패스키는 보통 구글 비밀번호 관리자, 애플 iCloud 키체인 같은 계정 기반 서비스에 동기화되어 저장된다. 새 기기에서 같은 계정에 로그인하고 본인 확인을 마치면 패스키를 다시 쓸 수 있는 구조다. 즉 기기 하나가 아니라 계정 보안이 새로운 뿌리가 된다.
그래서 오히려 챙길 것이 분명해진다. 구글·애플 계정 자체에 2단계 인증을 켜 두고, 복구 수단(복구 이메일, 복구 코드)을 미리 확인해 두는 일이다. 세부 동작은 서비스와 기기 종류에 따라 다르니, 각 서비스의 공식 안내를 함께 확인하자.
오늘 바로 해볼 수 있는 세 가지
첫째, 자주 쓰는 계정 중 패스키를 지원하는 곳부터 켜 본다. 구글 계정, 애플 계정, 국내 대형 쇼핑·포털·메신저 서비스 여러 곳이 지원을 늘리는 중이다(작성 시점 기준, 서비스별 지원 여부는 다르다). 계정 설정의 '보안' 메뉴에서 '패스키' 항목을 찾으면 된다.
둘째, 패스키를 지원하지 않는 곳은 비밀번호 관리자를 쓴다. 사이트마다 길고 무작위인 비밀번호를 자동으로 만들어 저장해 주는 도구가 있다. 기억은 도구에 맡기고, 나는 마스터 잠금만 지키면 된다.
셋째, 이메일 계정부터 지킨다. 대부분의 '비밀번호 찾기'는 이메일로 돌아온다. 이메일이 뚫리면 나머지가 줄줄이 뚫린다. 이메일 계정에 패스키와 2단계 인증을 먼저 걸어 두는 것이 가장 효율 높은 첫걸음이다.
정리하며
패스키는 비밀번호를 '더 잘 외우게' 해 주는 기술이 아니라, 외울 필요를 없애는 기술이다. 지문 한 번으로 로그인이 끝나는 편리함 뒤에는, 가짜 사이트를 알아채는 기기와 서버에 남지 않는 개인 열쇠라는 튼튼한 구조가 있다.
오늘 저녁, 커피 한 잔 옆에 폰을 두고 계정 보안 메뉴를 5분만 열어 보면 어떨까. 내일 아침 지하철에서는 '비밀번호 찾기' 대신 손가락 하나로 문이 열릴 테니까요.
