패스키로 갈아타기, 4개 플랫폼 등록 절차와 기기를 잃었을 때의 대비

비밀번호 하나를 여러 사이트에 돌려쓰는 습관이 위험한 이유는 단순합니다. 한 곳이 털리면 나머지가 전부 열립니다. 그래서 비밀번호 관리자를 쓰라는 권고가 오래 반복돼 왔는데, 그 권고의 다음 단계로 등장한 것이 패스키입니다. 비밀번호를 더 잘 관리하는 방법이 아니라, 비밀번호라는 것 자체를 없애는 방식입니다.

이 글은 구글·애플·마이크로소프트·삼성 네 곳의 공식 문서와 FIDO 얼라이언스 규격을 대조해, 지금 각 계정에 패스키를 어떻게 등록하는지와 기기를 분실했을 때 실제로 어떤 일이 일어나는지를 정리한 것입니다.

패스키가 정확히 무엇인지부터

마이크로소프트 Entra 문서는 패스키의 원리를 이렇게 설명합니다. "개인 키는 기기에 저장되고 공개 키는 로그인하려는 앱이나 웹사이트에 저장됩니다. 로그인하려면 두 키가 모두 필요합니다."

여기서 중요한 성질이 두 가지 나옵니다.

첫째, 서버로 넘어가는 것은 공개 키뿐입니다. 서비스가 해킹당해 데이터베이스가 통째로 유출돼도 공개 키만으로는 로그인할 수 없습니다. 비밀번호 유출 사고가 반복되는 근본 원인, 즉 "서버에 로그인 수단이 통째로 보관돼 있다"는 구조 자체가 사라집니다.

둘째, 키 쌍은 origin에 묶입니다. 같은 문서의 표현으로는 "이 키 쌍 조합은 고유하므로, 패스키는 그것을 만든 그 웹사이트나 앱에서만 작동합니다." 가짜 로그인 페이지가 아무리 진짜와 똑같이 생겼어도 주소가 다르면 브라우저가 애초에 패스키를 꺼내주지 않습니다. 사람의 눈썰미에 의존하지 않고 기계가 주소를 대조하는 방식이라, 피싱에 대해 사실상 면역이 됩니다.

지문이나 얼굴 인식은 여기서 서버로 전송되는 정보가 아닙니다. 기기에 잠겨 있는 개인 키를 꺼내기 위한 잠금 해제 수단일 뿐입니다. 구글도 도움말에서 생체 정보는 기기에만 저장되며 구글과 공유되지 않는다고 명시하고 있습니다.

구글: 계정 설정에서 바로 만듭니다

경로는 myaccount.google.com/signinoptions/passkeys입니다. '패스키 만들기'를 누르고 기기 잠금을 해제하면 끝납니다. 물리 보안 키에 만들려면 '다른 기기 사용'을 골라 FIDO2 호환 키를 꽂으면 됩니다.

안드로이드 쪽 공식 도움말은 저장 위치를 고를 수 있다고 안내합니다. 구글 비밀번호 관리자에 넣을 수도 있고, 삼성패스나 1Password, Keeper 같은 서드파티 관리자에 넣을 수도 있습니다. 어디에 넣든 "저장·동기화된 패스키는 다른 기기에서 로그인할 때 사용할 수 있습니다."

기기를 분실했을 때의 안내도 짧고 분명합니다. 접근 가능한 다른 기기에서 구글 계정에 로그인해 분실한 기기의 패스키를 삭제하라는 것입니다. 어떤 기기가 계정에 붙어 있는지는 google.com/devices에서 확인합니다.

애플: iCloud 키체인과 이중 인증이 전제입니다

애플은 조건이 먼저 붙습니다. iOS 16, iPadOS 16, macOS Ventura, tvOS 16 이상이어야 하고, iCloud 키체인과 이중 인증이 둘 다 켜져 있어야 합니다. 이중 인증이 꺼진 상태에서 패스키를 새로 만들려고 하면 애플이 먼저 이중 인증 설정 화면으로 보냅니다. 선택 사항이 아니라 전제 조건입니다.

조건을 충족하면 별도로 할 일이 거의 없습니다. 사파리에서 패스키를 지원하는 사이트에 가입하거나 로그인할 때 저장 여부를 물어보고, 수락하면 iCloud 키체인에 들어갑니다. 그 순간부터 같은 애플 계정을 쓰는 다른 기기에서도 그대로 쓸 수 있습니다.

마이크로소프트: 같은 이름이라도 성격이 다릅니다

여기가 이 글에서 가장 오해가 많은 지점입니다. 마이크로소프트 Entra 문서는 패스키를 두 종류로 나눠 정의합니다.

기기 고정 패스키(device-bound passkey): "개인 키가 하나의 물리적 기기에서 생성·저장되며 절대 그 기기를 벗어나지 않습니다." 예시로 Microsoft Authenticator와 FIDO2 보안 키를 듭니다.
동기화 패스키(synced passkey): 개인 키가 로컬 기기에서 암호화된 뒤 클라우드 패스키 제공자에 저장되고, 같은 제공자로 인증된 다른 기기가 그것을 쓸 수 있습니다. 예시는 Apple iCloud 키체인과 Google 비밀번호 관리자입니다.

같은 '패스키'라는 이름을 달고 있지만 분실 시 결과가 정반대입니다. 마이크로소프트 계정 지원 문서의 안내는 이렇습니다. 기기를 잃으면 패스키도 잃게 되고, 다른 복구 방법이 없으면 문제가 생기므로 다른 기기에도 백업 패스키를 만들어 두라는 것입니다.

덧붙여 기업 환경에서는 이 구분이 정책으로 강제되기도 합니다. Entra에서 증명(attestation)을 켜면 동기화 패스키는 아예 제외되고 기기 고정 패스키만 허용됩니다. 동기화 패스키는 증명을 지원하지 않아서 어떤 기기에서 만들어졌는지 조직이 검증할 수 없기 때문입니다.

삼성: 안드로이드에서는 저장소를 고를 수 있습니다

삼성패스는 안드로이드의 패스키 제공자 중 하나로 동작합니다. 갤럭시에서 패스키를 만들 때 구글 비밀번호 관리자에 넣을지 삼성패스에 넣을지 고를 수 있고, 삼성 클라우드 동기화를 켜두면 새 단말에 로그인한 뒤 패스키가 복원됩니다.

주의할 점은 이 선택이 기억되지 않고 계정별로 흩어지기 쉽다는 것입니다. 어떤 계정은 구글 쪽에, 어떤 계정은 삼성 쪽에 들어가 있으면 나중에 기기를 바꿀 때 절반만 따라오는 상황이 생깁니다. 처음 등록할 때 한 곳으로 몰아두는 편이 낫습니다.

기기 하나를 잃으면 어떻게 되나요

"패스키는 개인 키가 기기에 남으니 기기를 잃으면 계정에 못 들어간다." 흔히 도는 이 설명은 절반만 맞습니다. 위에서 정리한 두 종류를 대입해보면 갈리는 지점이 드러납니다.

동기화 패스키라면 기기 분실은 사실상 문제가 아닙니다. 아이폰을 잃어도 같은 애플 계정으로 로그인한 새 기기에서 iCloud 키체인이 복원되고, 안드로이드도 구글 계정을 통해 같은 방식으로 돌아옵니다. FIDO 얼라이언스가 동기화 패스키의 이점으로 "백업될 수 있으므로 분실로부터 더 잘 보호된다"고 적어둔 것이 이 대목입니다.

반대로 기기 고정 패스키는 기기와 함께 사라집니다. Microsoft Authenticator에 만든 패스키, YubiKey 같은 보안 키가 여기 해당합니다. 복구는 그 서비스가 제공하는 다른 로그인 수단에 달려 있고, 그 절차는 서비스마다 쉽거나 느리거나 아예 불가능합니다.

그래서 진짜 위험은 자리를 옮겼습니다. 기기를 잃는 것이 아니라 제공자 계정을 잃는 것이 문제입니다. 패스키를 동기화형으로 쓰기로 한 순간, 계정 접근권은 애플 계정이나 구글 계정 하나에 몰립니다. 그 계정의 복구 경로가 부실하면 기기를 아무리 조심해도 소용이 없습니다.

FIDO 얼라이언스가 계정마다 자격 증명을 최소 두 개 등록하라고 권고하는 이유가 여기 있습니다. 한 번의 분실 사건으로 사용자가 잠기는 상황을 막기 위해서입니다.

애플이 시도 횟수를 10회로 묶어둔 이유

동기화가 편리한 만큼 "그럼 애플이나 구글이 내 개인 키를 보는 것 아닌가"라는 의문이 따라옵니다. 애플 플랫폼 보안 가이드의 iCloud 키체인 에스크로 항목이 이 질문을 정면으로 다룹니다.

에스크로 기록은 iCloud 뒤에 배치된 하드웨어 보안 모듈(HSM) 클러스터가 지키고, 각 클러스터가 기록을 암호화하는 키를 따로 보유합니다. 사용자가 복구를 시도하면 HSM 클러스터가 SRP(Secure Remote Password) 프로토콜로 iCloud 보안 코드를 알고 있는지만 검증하며, 코드 자체는 애플로 전송되지 않습니다.

그리고 시도 횟수에 제한이 걸려 있습니다. 에스크로 서비스는 인증과 기록 인출을 10회까지만 허용하고, 여러 번 실패하면 기록이 잠기며 10번째 실패에서 HSM 클러스터가 에스크로 기록을 영구 삭제합니다. 무차별 대입으로 남의 키체인을 열 수 없게 만든 장치인데, 뒤집어 말하면 본인도 보안 코드를 잊으면 되돌릴 수 없다는 뜻입니다. 편의성의 대가가 어디에 있는지 보여주는 조항입니다.

국내 서비스는 어디까지 왔나

카카오는 2024년 11월 25일 카카오계정에 패스키 로그인을 도입했습니다. 보도자료의 표현으로는 "한 번 등록한 패스키는 iOS, Android 등 플랫폼 클라우드를 통해 자동으로 동기화"되며, 등록과 관리는 카카오계정 웹페이지의 '계정 보안' 메뉴에서 합니다. 국내 서비스 다수가 앱 환경에 한정해 도입한 것과 달리 웹 기반으로 적용해, 카카오 로그인을 쓰는 외부 서비스까지 범위가 넓어진 점을 특징으로 내세웁니다.

네이버는 2025년 1월 패스키 로그인을 열었습니다. PC와 모바일 웹에 우선 적용됐고 네이버 앱은 이후 순차 확대 방침이었습니다. 등록은 계정 보안 설정의 패스키 관리 메뉴에서 하고, 로그인 화면에서 아이디를 넣은 뒤 생체 인증으로 넘어가는 흐름입니다.

두 곳 모두 비밀번호를 없애는 것이 아니라 선택지를 하나 더하는 방식이라, 기존 비밀번호는 그대로 남아 있습니다. 패스키를 등록했다고 해서 비밀번호가 자동으로 안전해지지는 않는다는 뜻이기도 합니다.

네 곳을 한 표로

	패스키 종류	등록 경로	전제 조건	기기 분실 시
구글	동기화	계정 설정 → 패스키 및 보안 키	없음	다른 기기에서 로그인해 해당 패스키 삭제
애플	동기화	사이트 로그인 시 저장 수락	iCloud 키체인 + 이중 인증	같은 애플 계정의 다른 기기에서 복원
마이크로소프트	기기 고정	계정에 패스키 추가	없음	복구 안 됨, 백업 패스키 필요
삼성	동기화	패스키 생성 시 삼성패스 선택	삼성 클라우드 동기화	새 단말 로그인 후 복원

이 표를 놓고 보면 흔한 짐작 하나가 어긋납니다. 갈리는 기준은 회사가 어디냐가 아니라 그 패스키가 클라우드에 백업되느냐입니다. 같은 마이크로소프트 계정이라도 Authenticator에 만들면 기기와 함께 사라지고, 윈도우에서 구글 비밀번호 관리자를 통해 만들면 따라옵니다.

그래서 오늘 할 일

숫자로만 보면 패스키는 이미 검증이 끝난 방식에 가깝습니다. 마이크로소프트가 자사 소비자 계정 수억 건의 등록 데이터를 근거로 공개한 수치를 보면, 동기화 패스키 등록 성공률은 99%이고 로그인에 걸리는 시간은 비밀번호와 기존 다단계 인증을 합친 경우의 69초에서 3초로 줄었습니다. 로그인 성공률도 30%에서 95%로 올라갑니다.

그럼에도 순서를 지킬 필요는 있습니다. 오늘 30분을 쓸 수 있다면 이렇게 잡는 편이 낫습니다.

주력 계정 한 곳(구글이나 애플)에서 패스키를 먼저 만들고 로그인이 실제로 되는지 확인합니다
같은 계정에 두 번째 수단을 남겨둡니다. 다른 기기의 패스키든 보안 키든 복구 코드든 상관없습니다
그 다음에 카카오·네이버처럼 자주 쓰는 국내 서비스로 넓힙니다
마지막으로 제공자 계정 자체의 복구 경로를 점검합니다. 애플이라면 복구 연락처와 보안 코드, 구글이라면 복구 이메일과 전화번호입니다

비밀번호를 지우는 것은 그 다음 일입니다. 패스키가 동작하는 것을 확인하기 전에 비밀번호부터 없애면, 두 수단을 모두 잃었을 때 돌아갈 자리가 없습니다.

패스키를 이미 등록해두셨다면 그 계정의 두 번째 로그인 수단은 무엇인지 지금 확인이 되시나요? 기기 한 대만 잃어도 잠기는 구조인지, 아니면 돌아갈 길이 하나 더 있는 구조인지가 실은 등록 여부보다 중요한 질문입니다.