패스키

현관문 열쇠를 떠올려 볼게요. 문에 달린 자물쇠는 누구나 볼 수 있지만, 그것을 여는 열쇠는 내 주머니 안에만 있어요. 자물쇠를 아무리 들여다봐도 열쇠 모양을 알아낼 수는 없죠.

패스키를 만들면 기기가 짝을 이루는 두 값을 한꺼번에 만들어 내요. 자물쇠에 해당하는 공개키는 로그인할 사이트로 보내 보관하게 하고, 열쇠에 해당하는 개인키는 스마트폰이나 노트북 안에 잠가 둬요.

로그인할 때 사이트는 그때그때 다른 문제를 하나 던져요. 내 기기가 개인키로 그 문제에 서명해 답을 보내면, 사이트는 맡아 둔 공개키로 답이 맞는지 확인해요.

중요한 건 개인키가 사이트로는 절대 건너가지 않는다는 점이에요. 서버가 뚫려 저장된 값이 통째로 새어 나가도, 도둑이 손에 쥐는 것은 열쇠가 아니라 자물쇠뿐이에요.

피싱 사이트는 진짜 은행 화면을 그대로 베껴 만들어요. 사람 눈으로는 주소의 한 글자 차이를 알아채기 어려워요. 비밀번호는 내가 손으로 입력하는 값이라, 속아서 한 번 쳐 넣으면 그대로 넘어가 버려요.

패스키는 여기서 다르게 움직여요. 기기에 저장된 열쇠에는 '이 열쇠는 어느 사이트의 것'인지가 함께 적혀 있어요. 주소가 다르면 기기가 서명 자체를 만들지 않아요.

사람은 눈으로 속더라도 기기는 주소를 글자 단위로 대조해요. 속아서 내줄 값이 아예 없다는 점이 패스키의 가장 큰 힘이에요.

같은 이유로 키보드 입력을 몰래 기록하는 프로그램에도 걸려들 게 없어요. 손으로 치는 글자가 없으니 훔쳐 갈 것도 남지 않거든요. 사이트마다 열쇠가 따로 만들어지기 때문에, 한 곳이 뚫려도 다른 계정으로 피해가 번지기 어려워요.

지문이나 얼굴이 사이트로 전송된다고 오해하기 쉬워요. 하지만 잠금 해제는 기기 안에 잠긴 개인키를 꺼내 쓸 자격이 있는지 기기가 스스로 확인하는 절차예요. 지문 정보는 기기 안 보안 영역에 머물고, 사이트가 받는 것은 서명값 하나예요.

기기를 잃어버리면 어쩌나 하는 걱정도 많아요. 요즘 패스키는 계정에 연결된 클라우드 열쇠고리에 암호화된 채로 동기화되는 경우가 많아요. 보안 키처럼 한 기기에만 묶여 동기화되지 않는 패스키도 있어요. 새 기기에서 계정에 로그인하면 열쇠가 따라오고, 다른 기기의 패스키로 QR 코드를 찍어 승인하는 길도 있어요.

다만 아직 지원하지 않는 사이트도 많아요. 그래서 당분간은 비밀번호와 패스키가 나란히 쓰이는 과도기예요. 패스키를 쓰더라도 계정을 되찾을 방법을 미리 마련해 두는 일은 여전히 중요해요.