패스키(Passkey)란? 비밀번호 없는 로그인의 개념과 작동 방식

패스키란?

패스키는 비밀번호 대신 공개키와 개인키 한 쌍을 이용해 로그인하는 방식입니다.

사용자는 비밀번호를 입력하는 대신 스마트폰이나 PC의 지문·얼굴인식, PIN 등 평소 기기의 잠금을 해제하는 방법으로 로그인을 승인합니다.

패스키를 등록하면 서로 짝을 이루는 공개키(Public Key)와 개인키(Private Key)가 만들어집니다. 서비스에는 공개키가 등록되고, 개인키는 서비스 서버로 전달되지 않습니다. 로그인할 때는 개인키를 이용해 인증하고, 서비스는 등록된 공개키로 이를 확인합니다.

패스키와 생체인증은 같은 개념이 아닙니다. 지문·얼굴인식·PIN은 기기에서 사용자를 확인하는 수단이며, 실제 서비스 인증에는 공개키 암호 기술이 사용됩니다. 생체정보는 서비스 서버로 전달되지 않고 기기에서 처리됩니다. 이러한 패스키 인증은 라온시큐어의 OnePass를 통해 기존 업무 시스템의 비밀번호 없는 로그인 방식으로 적용할 수 있습니다.

비밀번호와 무엇이 다른가요?

가장 큰 차이는 사용자가 기억하고 직접 입력해야 하는 비밀번호가 없다는 점입니다.

패스키 인증 과정에서는 비밀번호를 입력하거나 서비스와 비밀번호를 주고받지 않습니다. 또한 패스키는 서비스별로 고유하게 생성되고 해당 서비스의 도메인과 연결되기 때문에, 가짜 로그인 페이지에 비밀번호를 입력하도록 유도하는 피싱 공격에 강한 구조를 가집니다.

FIDO와 패스키는 어떤 관계인가요?

패스키는 FIDO 표준을 기반으로 구현된 비밀번호 없는 로그인 방식입니다.

FIDO가 공개키 기반 인증을 위한 기술 표준이라면, 패스키는 이를 실제 서비스 로그인에 적용한 방식이라고 볼 수 있습니다. 라온시큐어의 OnePass는 FIDO 표준 기반 패스키를 기존 기업 인증 환경과 연계해 비밀번호 없는 로그인 방식으로 적용할 수 있습니다.

패스키는 여러 기기에서도 사용할 수 있나요?

패스키는 여러 기기로 동기화해 사용할 수도 있고, 특정 기기에만 저장해 사용할 수도 있습니다.

동기화형 패스키(Synced Passkey)는 여러 기기에서 이어서 사용할 수 있습니다. 스마트폰이나 PC를 바꿔도 같은 패스키 제공자를 이용하면 기존 패스키를 다시 사용할 수 있습니다.

기기 바인딩 패스키(Device-bound Passkey)는 특정 기기나 보안키에 저장되며 다른 기기로 자동 동기화되지 않습니다. 기업에서는 보안 정책에 따라 특정 기기에 인증정보를 묶어 관리하는 방식으로 사용할 수 있습니다.

OnePass로 지원하는 패스키 인증

라온시큐어의 OnePass는 FIDO·패스키를 포함한 다양한 인증 수단을 기존 기업 인증 환경과 연결하는 MFA 지원 AI 통합인증 플랫폼입니다. 서비스와 조직의 인증 정책에 맞춰 패스키를 비롯한 인증 수단을 구성하고 기존 업무 시스템의 인증 환경과 연계할 수 있습니다. 라온시큐어는 아시아 정보보안 기업 최초로 FIDO Alliance 이사회 멤버로 선임돼 글로벌 인증 표준 생태계에도 참여해 왔습니다.