Passkey (패스키)

Passkey (패스키)

FIDO2/WebAuthn 기반으로 비밀번호 없이 생체인증/기기인증으로 로그인하는 차세대 인증 방식

특징: 비밀번호 불필요, 피싱 저항성(origin 바인딩), 디바이스 간 동기화(iCloud Keychain/Google Password Manager), 공개키 기반

동작원리

• •① 등록: 기기에서 공개키/개인키 쌍 생성 (Secure Enclave/TPM)
• •② 서버에 공개키 저장 (개인키는 기기에만 보관)
• •③ 인증: 생체(지문/얼굴)/PIN으로 개인키 잠금 해제 → 챌린지에 서명
• •④ 서버에서 공개키로 서명 검증 → 인증 완료

기존 FIDO2와 차이: 기존 FIDO2 키는 단일 기기 바인딩 → Passkey는 클라우드 동기화로 기기 간 이동/복구 가능

지원 현황: Apple(iOS 16+/macOS Ventura+), Google(Android 9+/Chrome), Microsoft(Windows 11+), 주요 서비스(Google, GitHub, Amazon 등)

보안 장점: 서버에 비밀번호 저장 안 함(유출 무의미), 피싱 사이트 origin 불일치로 인증 실패, Credential Stuffing 불가

비교: Passkey(비밀번호 없음/피싱 저항/동기화) vs Password(탈취 위험/피싱 취약) vs MFA(추가 인증/비밀번호 의존) vs 공인인증서(ActiveX 의존/이동성 낮음)

연관: FIDO2, WebAuthn, 생체인증, Zero Trust, 패스워드리스