패스키 vs 패스워드: 자꾸만 멈춰 서는 전환

패스키는 거의 모든 기술적 면에서 패스워드보다 낫다. 그래서 더딘 채택이 더 속 터진다.

보안 이야기는 환상적이다. 공유 비밀이 없다. 크리덴셜이 오리진에 묶여 있다. 피싱에 강하다. 또 하나의 외워야 할 문자열 대신 얼굴, 지문, PIN으로 기기 잠금을 푼다. Apple, Google, Microsoft, FIDO Alliance가 모두 이 모델 뒤에 줄을 섰다. Google은 2024년 5월, 지난 2년 동안 4억 개가 넘는 Google 계정에서 패스키가 10억 번 이상 쓰였고 이미 SMS와 앱 일회용 코드를 합친 것보다 많이 쓰인다고 밝혔다.

그런데도 몇몇 거대 플랫폼을 벗어나면, 웹은 여전히 패스워드 세상 한쪽에 패스키 시연대가 놓인 모습이다.

패스키가 실제로 뭔가

브랜딩을 걷어내면 패스키는 공개키 암호로 만든 WebAuthn 크리덴셜이다.

개인키는 사용자 기기나 보안 하드웨어에 남는다. 서버는 공개키를 저장한다. 로그인할 때 서버가 챌린지를 보내고, 인증기가 서명하고, 브라우저가 결과를 넘긴다. 공유 패스워드가 전송되지 않는다. 사용자가 일회용 코드를 옮겨 적지도 않는다. 크리덴셜은 신뢰 당사자(relying party)의 오리진에 묶인다 — 피싱 저항이 말뿐이 아닌 이유다.

피싱 사이트는 사용자를 속여 패스워드를 입력하게 할 수 있다. 하지만 real-site.com용 WebAuthn 크리덴셜이 lookalike-site.com에 인증하도록 만들 수는 없다. 오리진 확인이 절차 자체에 들어 있다.

이게 패스키의 가장 강력한 논거다. 패스워드보다 피싱에 조금 더 강한 정도가 아니다. 패스키 자체에 대해서는 크리덴셜 중계형 피싱이 통하지 않는다. 가짜 페이지에 입력할 것도, 가짜 페이지가 넘겨줄 것도 없다. 남는 약점은 대체 수단이다. 계정이 여전히 패스워드를 받아 주는 한, 피싱범은 그냥 패스워드를 달라고 하면 된다.

패스키 vs 기존 MFA

보안 담당자에게 정말 중요한 비교는 이쪽이다. 2026년에 ‘패스워드’라고 하면 보통 ‘패스워드 + 2차 인증’을 뜻하니까.

패스워드에 SMS 코드나 인증 앱(TOTP) 코드를 더한 방식은, 사람이 읽고 다시 칠 수 있는 비밀 두 개다. 요즘 피싱 키트가 노리는 게 정확히 그 점이다. 사용자와 진짜 사이트 사이에 끼어들어 패스워드를 중계하고, 1초 뒤 여섯 자리 코드도 중계하고, 세션 쿠키를 챙긴다. 코드는 유효했다. 엉뚱한 상대에게 건네졌을 뿐이다. 푸시 알림 MFA에도 같은 종류의 문제가 있다. 공격자가 승인 요청을 계속 보내면 지친 사용자가 결국 ‘승인’을 누른다.

패스키는 두 요소를 한 동작으로 합치고 중계를 없앤다. ‘소유’는 기기 안의 개인키이고, 그 키를 여는 얼굴·지문·PIN이 두 번째 요소이며, 서명은 진짜 사이트의 오리진에 묶여 있어 중간자 페이지가 쓸 수 있는 게 아무것도 없다. 그래서 NIST는 2024년 SP 800-63B 보충 문서(이후 지침 4차 개정판에 흡수됐다)에서 동기화되는 패스키를 기존 MFA와 같은 인증 보증 수준 AAL2로 인정했고, 보안 키에 묶인 기기 고정형 패스키는 AAL3까지 갈 수 있다. 실무적으로 요약하면, 패스키는 패스워드+TOTP만큼 강하거나 더 강하고, 그와 달리 피싱에 견딘다.

패스키와 자주 헷갈리는 용어가 하나 더 있다. W3C의 디지털 자격증명(Digital Credentials) API다. 패스키는 ‘계정을 만든 그 사람이 맞다’를 증명한다. 디지털 자격증명은 지갑 앱이 다른 기관이 발급한 서명된 정보 — 모바일 운전면허증, 성인 인증 같은 것 — 를 제시하게 해 준다. 하나는 로그인이고, 다른 하나는 신분증이다. 경쟁 관계가 아니라 서로 보완한다.

UX 혼란

여기서부터 꼬인다.

“얼굴로 로그인하세요”가 대부분의 사용자가 패스키를 겪는 방식이다. 눈에 보이는 건 생체 인식 — Face ID, Touch ID, Windows Hello — 이다. 사용자가 모르는 건, 생체 인식은 기기에 저장된 키의 잠금을 풀 뿐이라는 점이다. 얼굴이나 지문은 휴대폰 밖으로 나가지 않는다. 인증은 키가 한다. 얼굴은 키를 담은 상자의 자물쇠다.

이 추상화는 보안에는 좋고 머릿속 그림에는 혼란스럽다. 사용자는 뭐가 만들어졌는지, 어디에 있는지, 기기를 바꾸면 어떻게 되는지 모른다. “내 얼굴로 되네”만 알고 생각을 멈춘다.

새 휴대폰을 사기 전까지는. 그때부터 생각이 시작된다.

동기화 문제

Apple은 iCloud 키체인으로 패스키를 동기화한다. Google은 Google 비밀번호 관리자로. Microsoft가 셋 중 가장 늦었다. 2025년 11월 Windows 업데이트부터 Windows 11이 Microsoft 비밀번호 관리자로 패스키를 동기화하고, 1Password·Bitwarden 같은 외부 관리자를 시스템 전체의 패스키 제공자로 끼울 수 있게 됐다. 한 생태계 안에서는 아름답게 돌아간다. iPhone에서 패스키를 만들고 Mac에서 쓰면 끝이다.

생태계를 넘나들면 경험이 나빠진다.

iPhone에 저장된 패스키로 Windows PC에 로그인하려면, PC에 뜬 QR 코드를 iPhone으로 찍고, 블루투스로 근접 확인을 하고, 생체 확인을 한다. 된다. 빠르지 않다. 직관적이지 않다. 우회로처럼 느껴진다. 실제로 우회로니까.

탈출구는 있다. 모든 주요 플랫폼에서 패스키를 저장하는 외부 비밀번호 관리자, 그리고 마침내 패스키에 내보내기 형식을 준 FIDO Alliance의 Credential Exchange Protocol이다. Apple이 iOS 26과 macOS 26에서 처음 구현했다. 둘 다 도움이 된다. 둘 다 보통 사용자는 들어 본 적이 없다.

기술을 아는 사용자라면 참을 만하다. 가입할 때 어느 이메일을 썼는지도 헷갈리는 사람에게는 벽이다.

복구 문제

패스워드에는 누구나 아는 복구 흐름이 있다. “비밀번호를 잊으셨나요?” → 이메일 링크 → 새 비밀번호. 모두가 안다. 모든 플랫폼과 기기에서 된다.

패스키 복구는 플랫폼마다 다르고 헷갈린다. Apple 기기를 전부 잃어도 패스키는 iCloud에 있다 — Apple 계정에 다시 들어갈 수 있다면 복구된다. 동기화를 안 했다면 사라진다. 백업 없는 하드웨어 키를 썼다면 사라진다.

“두 번째 기기에 백업 패스키를 만들어 뒀어야죠.” 물론이다. 일반 사용자 중 실제로 그렇게 하는 사람이 몇이나 될까? 그래야 한다는 걸 아는 사람은?

복구는 패스키 생태계의 가장 약한 고리이고, 사용자가 가장 궁금해하는 질문이기도 하다. “휴대폰을 잃어버리면요?”

사이트 채택: 선택 사항이면 영영 안 쓴다

대부분의 주요 사이트가 패스키를 선택 사항으로 제공한다. 필수로 요구하는 곳은 거의 없다. 기본값은 패스워드다. 패스키 메뉴는 보통 보안 설정 깊숙이 묻혀 있다 — 대부분의 사용자가 가 보지 않는 페이지다.

이게 채택의 함정이다. 패스워드가 어디서나 되고 패스키는 직접 켜야 하는 한, 채택은 보안에 신경 쓰는 소수에 머문다. 다수는 패스워드를 쓴다. 기본값이니까. 기본값이 이긴다.

Google, Apple, Microsoft는 자기 생태계 안에서 패스키를 밀 수 있다. 하지만 아직 아이디·패스워드만 지원하는 수많은 작은 사이트, 기업용 앱, 레거시 시스템까지 강제할 수는 없다. 웹의 긴 꼬리는 느리게 움직인다.

기업의 공백

기업 쪽에는 또 다른 문제가 있다. SSO 제공자들이 패스키 지원을 붙이고 있지만, 패스워드 기반 SAML/OIDC에서 패스키 기반 흐름으로 옮기는 일은 간단하지 않다. IT 부서는 패스키를 발급하고, 기기 등록을 관리하고, 분실 사례를 대규모로 처리하고, 못 쓰거나 안 쓰려는 사용자까지 지원해야 한다.

TOTP를 ‘고급’ MFA로 이제 막 다 깔아 놓은 조직도 많다. “2FA 도입 겨우 끝냈는데 이제 전부 패스키로 바꾸자”는 말은 설득하기 어렵다.

패스키는 잘못된 질문에 대한 맞는 답이다

기술은 맞다. 공개키 암호가 공유 비밀보다 낫다. 오리진 바인딩이 사용자의 경계심보다 낫다. 생체 잠금 해제가 외운 문자열보다 낫다.

하지만 채택을 결정하는 질문은 “뭐가 더 안전한가?”가 아니다. “사람들이 실제로 뭘 쓸까?”다.

사람들이 패스워드를 쓰는 이유는 어디서나 되고, 따로 설정할 게 없고, 이메일로 복구되고, 누구나 이해하기 때문이다. 패스키는 더 안전하지만 가장자리에서는 조금 덜 편하다 — 그리고 채택은 바로 그 가장자리에서 결정된다.

전환은 일어날 것이다. 언젠가는. 하지만 사이트마다 사용자가 직접 켜는 방식으로는 안 일어난다. 플랫폼이 민감한 작업에 패스키를 요구하기 시작하고, 브라우저가 패스워드 자동완성을 낡은 것처럼 느끼게 만들고, “패스키를 잃어버렸어요”에 “비밀번호를 잊었어요”만큼 누구나 아는 답이 생길 때 일어날 것이다.

그때까지 패스키는 지금보다 나은 대접을 받아야 한다. 우리가 만든 가장 좋은 인증 기술이, 나머지 생태계가 따라오기를 기다리고 있다.