■ 소비자 정보
지문·얼굴 인식으로 로그인
생체정보로 안전성 극대화
각종 피싱 사기 예방 효과
구글·아마존 등 도입 확대
복잡한 비밀번호를 외우거나 로그인할 때마다 휴대전화로 전송되는 인증번호를 입력해야 하는 번거로움이 줄어들 전망이다.
비밀번호 대신 지문이나 얼굴 인식으로 본인임을 확인하는 ‘패스키’(Passkey)가 새로운 인터넷 보안 수단으로 확산하고 있다. 각종 온라인 사기와 개인정보 유출이 끊이지 않는 가운데, 패스키가 기존 비밀번호의 취약점을 보완할 대안으로 주목받고 있다.
워싱턴포스트(WP)는 19일 패스키가 기존 비밀번호보다 편리하고 피싱 공격에 강한 로그인 방식으로 자리 잡고 있지만, 웹사이트와 기기별 지원 수준이 달라 아직 모든 온라인 서비스에서 사용할 수 있는 것은 아니라고 보도했다.
패스키는 이용자가 비밀번호를 직접 입력하는 대신 스마트폰이나 컴퓨터에 저장된 디지털 인증 정보를 이용해 본인임을 확인하는 기술이다. 지문·얼굴 인식이나 기기 잠금번호로 인증하면 로그인할 수 있다. 이용자가 기억해야 할 비밀번호가 없고, 로그인할 때마다 일회용 인증번호를 받아 입력하는 절차도 줄일 수 있다.
패스키의 핵심은 비밀번호를 서버에 저장해 두고 확인하는 기존 방식과 달리 공개키 암호화 기술을 활용한다는 점이다. 패스키를 등록하면 웹사이트에는 공개키가, 이용자의 기기나 비밀번호 관리 시스템에는 이에 대응하는 개인키가 저장된다. 로그인 과정에서는 개인키를 이용해 인증에 필요한 응답을 생성하지만, 개인키 자체가 웹사이트로 전송되지는 않는다.
이 때문에 웹사이트 서버가 해킹당하더라도 일반적인 비밀번호 데이터베이스 유출과 같은 방식으로 패스키를 빼내 악용하기 어렵다.
패스키가 특히 주목받는 이유는 가짜 웹사이트를 이용해 로그인 정보를 훔치는 피싱 사기를 예방하는 데 효과적이기 때문이다. 사기범들은 은행이나 온라인 샤핑몰, 배송업체 등을 사칭한 문자와 이메일을 보내 가짜 로그인 페이지로 유도한다. 이용자가 비밀번호를 입력하면 이를 가로채 실제 계정에 접근하는 방식이다.
반면 패스키는 등록된 웹사이트의 주소와 인증 정보가 연결돼 있어 다른 주소의 가짜 사이트에서는 정상적으로 인증이 이뤄지지 않는다. 비밀번호를 입력하거나 사기범에게 전달할 필요가 없다는 점에서 피싱 공격의 주요 경로를 차단할 수 있다.
특히 금융기관을 사칭한 문자, 가짜 고객센터 전화, 배송료 결제를 유도하는 문자, 계정 정지를 빙자한 이메일 등이 늘어나는 상황에서 패스키는 소비자가 활용할 수 있는 중요한 보안 수단이다. 다만 패스키를 사용하더라도 사기범이 이용자를 속여 돈을 직접 송금하게 하거나, 계정 복구 정보를 빼내는 방식의 사기까지 막아 주지는 못한다.
패스키는 주요 기술기업과 온라인 유통업체를 중심으로 도입이 확대되고 있다. 구글은 2023년부터 개인 계정의 로그인 방식으로 패스키를 지원했으며, 아마존과 월마트, 베스트바이 등도 관련 기능을 제공하고 있다.
패스키는 이용하는 기기와 운영체제에 따라 애플리케이션이나 비밀번호 관리 시스템에 저장해 사용할 수 있다. 아이폰과 맥 이용자는 애플의 ‘패스워즈’(Passwords) 앱을, 안드로이드와 크롬 이용자는 구글 비밀번호 관리자를 활용할 수 있다. 윈도와 애플·안드로이드 기기를 함께 사용하는 경우에는 비트워든(Bitwarden)이나 원패스워드(1Password) 등 여러 플랫폼을 지원하는 비밀번호 관리 프로그램을 고려할 수 있다.
일반적인 설정 방법은 비교적 간단하다. 구글이나 아마존 등 자주 이용하는 서비스에 로그인한 뒤 계정의 보안 설정에서 ‘패스키’ 항목을 찾아 등록하면 된다. 이후 해당 기기에서 로그인할 때 지문이나 얼굴 인식, 기기 잠금번호 등으로 본인 인증을 할 수 있다.
<조환동 기자>
