패스키란? 비밀번호 없이 로그인하는 방식과 지금 써도 될지
비밀번호는 외우기 번거롭고, 유출되면 위험하고, 가짜 사이트에 속아 직접 입력해 넘기기도 쉽다. 이 문제를 근본적으로 바꾸려는 것이 패스키(passkey)다. 구글·애플·마이크로소프트가 모두 밀고 있어 로그인 화면에서 "패스키로 로그인" 항목을 본 사람도 많을 것이다. 패스키가 정확히 무엇이고 비밀번호와 어떻게 다른지, 지금 써도 되는지 정리한다.
패스키란 무엇인가
패스키는 비밀번호를 대체하는 새로운 로그인 방식이다. 핵심은 하나의 비밀을 서버와 나눠 갖지 않는다는 데 있다. 패스키를 만들면 기기가 한 쌍의 열쇠를 생성한다. 하나는 공개 키로 서비스 서버에 저장되고, 다른 하나는 개인 키로 내 기기 밖을 나가지 않는다. 로그인할 때는 지문이나 얼굴, 화면 잠금 PIN으로 기기를 열어 개인 키로 서명만 하면 된다. 외우거나 입력하는 비밀번호가 아예 없는 셈이다.
비밀번호와 무엇이 다른가
가장 큰 차이는 피싱에 강하다는 점이다. 비밀번호는 진짜 같은 가짜 사이트에 속아 입력하면 그대로 넘어간다. 패스키는 개인 키가 기기를 떠나지 않기 때문에 넘겨줄 비밀 자체가 없다. 서버가 보관하는 공개 키는 그 값만으로는 로그인에 쓸 수 없어, 서비스가 해킹돼 공개 키가 유출돼도 그것으로 남의 계정에 들어갈 수 없다. 애플은 패스키가 공개 키 암호화 방식을 쓰는 WebAuthn 표준에 기반한다고 설명한다.
패스키는 어디에 저장되나
아이폰과 맥은 iCloud 키체인에, 안드로이드는 구글 계정에 저장되고 같은 계정으로 로그인한 기기끼리 동기화된다. 구글은 지문·얼굴 같은 생체 정보는 기기 안에만 있고 서버로 전송되지 않는다고 밝힌다. 생체 인식은 어디까지나 기기를 여는 열쇠일 뿐, 그 데이터가 서비스로 넘어가는 것은 아니다. PC처럼 패스키가 없는 기기에서 로그인할 때는 화면에 뜬 QR 코드를 폰으로 찍어, 폰에 있는 패스키로 인증할 수 있다.
폰을 잃어버리면 못 들어가는 것 아닌가
패스키를 처음 들으면 "그 기기를 잃어버리면 계정에서 영영 잠기는 것 아니냐"는 걱정이 따라온다. 그렇지 않다. 패스키는 클라우드 계정을 통해 같은 계정으로 로그인한 다른 기기에 동기화되므로, 폰을 잃어버려도 태블릿이나 다른 폰에서 그대로 로그인할 수 있다. 애플은 이 동기화가 애플조차 열어 볼 수 없는 방식으로 암호화되며, 새 기기를 등록할 때는 기존 기기의 승인이나 계정 복구 절차를 거치도록 설계돼 있다고 설명한다. 불안하다면 당분간 기존 비밀번호를 지우지 말고 함께 남겨 두는 것도 방법이다.
지금 만들어 둘까
구글 계정은 계정 설정의 보안, 패스키 항목에서 몇 번의 확인만으로 만들 수 있다. 다만 주의할 점이 있다. 패스키가 있는 기기는 잠금만 풀면 그 계정에 들어갈 수 있으므로, 본인 소유의 기기에만 만들고 공용 PC에는 만들지 않아야 한다. 비밀번호를 당장 없앨 필요는 없다. 자주 쓰는 계정부터 패스키를 하나 더 얹어 두고 로그인이 편해지는지 겪어 본 뒤 넓혀 가면 된다. 처음에는 매일 쓰는 구글이나 애플 계정 하나로 시작해 보면 감을 잡기 쉽다. 2026년 9월 기준 구글·애플·마이크로소프트의 주요 계정이 모두 패스키를 지원한다.