안녕 비밀번호, 안녕 패스키: 인증의 미래

Passkeys 소개

비밀번호 기반 인증은 수년간 기본 모드였습니다. 하지만 등록한 모든 웹사이트의 비밀번호를 기억하고 싶은 사람이 있을까요? 대부분의 사람들은 많은 곳에서 기억하기 쉬운 동일한 비밀번호를 사용합니다. 비밀번호 관리자는 자격 증명을 자동 채우기 쉽게 만들어 주지만, 비밀번호 기반 인증 시스템에 존재하는 보안 문제를 설계상 극복할 수는 없습니다. Passkeys가 등장했습니다. Passkeys는 더 안전하고 사용하기 쉽고, 인증 분야에서 유망해 보이는 새로운 비전으로 비밀번호 없는 인증을 제공합니다.

모든 것과 마찬가지로 패스키에도 장점과 단점이 있습니다. 이 글에서는 패스키 인증 모드의 작동 방식, 보안성 등을 비롯한 여러 가지 사항에 대해 알아보겠습니다.

패스키는 어떻게 작동하나요?

패스키는 단일 문자열 기반 암호에 의존하는 대신 공개 키 암호화를 사용하여 인증 흐름을 생성합니다. 사용자의 기기는 공개/비공개 키 쌍을 생성하고 공개 키를 서버에 보내면 서버에서 이를 저장하고 나중에 키를 사용하여 사용자를 인증합니다. 비공개 키는 사용자의 기기에 저장됩니다.

등록 흐름

• 사용자 장치는 웹 서비스에 바인딩된 공개/개인 키 쌍을 생성합니다.
• 공개 키는 웹 서비스로 전송되고 개인 키는 사용자의 장치에 저장됩니다.
• 웹 서비스는 사용자의 공개 키를 데이터베이스에 저장합니다.

인증 흐름

• 웹 서비스가 클라이언트에게 챌린지 nonce를 보냅니다.
• 사용자는 생체 인식, PIN 등의 방법을 사용하여 로컬에서 자신을 인증하고 개인 키에 액세스합니다.
• 사용자 장치는 특정 웹 서비스에 대한 개인 키를 사용하여 문제에 서명합니다.
• 웹 서비스는 서명된 챌린지를 수신하고 공개 키를 사용하여 검증합니다. 이를 통해 클라이언트 장치가 실제로 개인 키에 액세스할 수 있는지 확인합니다.
• 성공적으로 검증되면 웹 서비스에서 사용자를 인증합니다.

주의할 점

• 공개/개인 키 쌍은 각 서비스/웹사이트마다 고유합니다.
• 공개 키는 등록 중에 네트워크를 통해 웹 서비스로 한 번만 전송됩니다.
• 개인 키는 항상 사용자 기기에 보관되며 네트워크를 통해 전송되지 않습니다. (예외는 비밀번호 관리자를 사용하여 패스키를 동기화하는 경우입니다)
• 사용자 장치에서 생성된 서명된 페이로드는 네트워크를 통해 전송되고, 세션별로 달라지며, 사용자가 인증될 때마다 변경됩니다.

비밀번호는 얼마나 안전한가요? 그리고 비밀번호보다 어떻게 더 나은 대안이 될 수 있나요?

보안이 강화되면 일반적으로 사용 편의성이 떨어지지만 패스키의 경우에는 그렇지 않습니다. 등록 단계가 완료되면 사용하기가 더 쉽습니다. 비밀번호를 기억할 부담이 없고 인증도 빠르고 쉽고 안전합니다.

패스키는 공격 표면을 줄이고 비밀번호에 대한 일반적인 위협을 제거합니다. 비밀번호는 일반적으로 데이터베이스에 암호화된 형태로 저장됩니다. 일반 텍스트 비밀번호를 사용하여 웹 서비스에 로그인하면 동일한 암호화된 텍스트를 생성하여 이미 가지고 있는 텍스트와 비교합니다. 이렇게 하면 사용자가 인증됩니다. 이제 두 가지 가장 일반적인 위협이 남습니다.

• 데이터베이스 침해
• 피싱 공격

데이터베이스 침해는 흔하며, 서비스 데이터가 도난당하면 종종 다크웹에서 판매됩니다. 데이터에 액세스할 수 있는 악의적인 행위자는 오프라인에서 암호화를 해제하려고 시도할 수 있으며, 오늘날 사용 가능한 컴퓨팅 파워로는 암호화에 따라 몇 주에서 몇 달이 걸릴 수 있습니다. 패스키는 저장할 비밀번호가 없으므로 이러한 위협을 제거합니다. 누출이 발생하면 공개 키만 노출되므로 악의적인 행위자에게는 별로 유용하지 않습니다.

피싱 공격에서는 대상 웹사이트의 복제본이 생성되고 사용자는 진짜 사이트로 착각하여 자격 증명을 입력하도록 속습니다. 그러나 이는 훔칠 자격 증명이 없기 때문에 Passkeys에서는 작동하지 않습니다. Man in the Middle과 결합된 정교한 피싱 공격은 여전히 작동할 수 있지만 공격 표면은 크게 줄어듭니다.

패스키의 종류

• 단일 장치 또는 장치 바인딩
  • 개인 키는 장치 외부로 유출되지 않습니다.
  • 인증은 개인 키가 있는 특정 장치에서만 수행할 수 있습니다.
  • 키는 단일 장치에만 존재하므로 장치 액세스가 끊어진 경우 복구 경로를 트리거해야 합니다.
• 다중 장치 또는 동기화됨
  • 개인 키는 모든 사용자 기기에서 동기화됩니다.
  • 일반적인 옵션으로는 Google 비밀번호 관리자, iCloud 키체인 등이 있습니다.
  • 키는 종단간 암호화되어 있습니다. 즉, 공급자는 키를 저장하더라도 키를 볼 수 없고 사용할 수 없습니다.
  • 이를 통해 사용자는 단 하나의 기기만 등록하고 동일한 키를 여러 기기에서 재사용할 수 있으므로 사용성이 향상됩니다.

패스키의 이동성

이전 섹션에서 이미 배웠듯이, 패스키는 기기 간에 동기화할 수 있으므로 휴대성이 있다는 것을 알 수 있습니다. 제공자(Google, iCloud)에 로그인한 경우 모든 기기에서 패스키를 사용할 수 있습니다. 여기서는 친구의 컴퓨터나 도서관 등 본인 소유가 아닌 기기에서 패스키를 어떻게 사용할 것인지에 대한 의문이 생깁니다. 기본적으로 한 번만 사용하려는 기기입니다. 패스키는 이 경우에도 적용되며, 두 시스템이 패스키를 지원하는 경우 Bluetooth를 통해 서로 통신하여 액세스를 공유할 수 있습니다. 작동 방식에 대한 단계별 연습 과정을 살펴보겠습니다.

• 패스키가 없는 데스크톱에서 xyz.com 웹사이트를 엽니다.
• 다른 기기에서 패스키를 사용하여 로그인하는 옵션을 사용할 수 있습니다.
• 데스크톱에서는 근처에서 사용 가능한 기기나 QR 코드에 대한 옵션이 표시됩니다.
• 기기를 선택하거나 QR을 스캔할 수 있습니다.
• 그런 다음 모바일 기기를 사용하여 본인 인증을 받고 데스크톱에서 모바일의 패스키를 사용하도록 허용할 수 있습니다.
• 인증이 완료되면 등록 절차를 거치지 않고도 데스크톱에서 패스키를 생성할 수 있는 옵션도 제공됩니다. 선택하면 다음부터는 모바일 기기가 필요 없으며 데스크톱에 대한 새로운 패스키 세트가 생성됩니다.
• 한 번만 사용하기로 선택하면 새로운 패스키가 생성되지 않습니다.

입양에 대한 교훈

패스키는 클라이언트-인증자 프로토콜(CTAP)과 웹 인증 API(WebAuthn)를 결합한 FIDO2 표준을 기반으로 하며 FIDO 얼라이언스와 W3C의 공동 프로젝트입니다. 이러한 표준화 노력은 채택과 적절한 구현을 늘리는 것을 목표로 합니다. 패스키에 대한 기본 지원은 Google, Apple, Microsoft와 같은 회사에서 OS 및 브라우저 수준에서 추가되어 패스키 채택을 장려하는 데 큰 도움이 됩니다.

업계에서 비밀번호에 대한 의존도가 높기 때문에 패스키를 채택하는 것은 기술적인 문제일 뿐만 아니라 심리적인 문제이기도 합니다. 최종 사용자는 비밀번호 기반 시스템의 친숙함에 익숙해져 있기 때문에 처음에는 패스키에 대해 불안해할 수 있습니다. 패스키가 비밀번호보다 안전하고 사용하기 쉽지만 대부분의 경우 알려진 옵션에 대한 편안함이 이깁니다. 패스키를 대규모로 채택하려면 사용자 교육이 필요하며 복구 및 사용 편의성에 대한 의문이 처음에는 있을 것입니다.

반면에, 기업들은 충분한 사용자 채택을 보지 못하면 패스키 인증을 제공하기를 꺼릴 수 있습니다. 공공 부문에서 정부는 정책 변경을 통해 채택을 장려할 수 있습니다.

결론

패스키는 인증 공간을 변화시킬 잠재력이 있습니다. 안전하고 사용하기 쉽습니다. 패스키는 암호 기반 인증에서 발생하는 일반적인 위협을 제거하지만, 동시에 어려움과 한계도 있습니다. 계정 복구와 자격 증명의 이식성은 적절히 해결해야 할 몇 가지 문제입니다. 다음 단계는 하이브리드 인증 모드, 즉 암호와 함께 패스키를 사용하는 것이라고 생각합니다. 실제 세계에서 채택이 증가함에 따라 더 많은 주장이 제기될 것이며, 이는 완전히 암호 없는 미래로 이동하기 전에 다음으로 어디로 이동할지 결정하는 데 더 나은 지점이 될 것입니다.

**