패스키가 바꾸는 로그인 방식, 단순한 비밀번호 입력이 아니다
패스키는 FIDO 표준에 기반한 로그인 방식으로, 암호화 키가 전통적인 비밀번호를 대체합니다. 사용자는 여전히 지문, 얼굴 인식, PIN 또는 장치 잠금을 통해 신원을 확인하지만, 더 이상 반복적으로 사용할 수 있는 비밀번호를 입력하지 않습니다.
사이트는 비밀번호 대신 공개 키를 저장한다
전통적인 비밀번호는 비밀 문자로, 피싱 사이트에 의해 탈취되거나 데이터 유출로 인해 다른 사이트에서 반복적으로 시도될 수 있습니다. 패스키가 생성될 때, 일련의 공개 키와 개인 키가 생성되며, 서비스는 공개 키를 저장하고 개인 키는 사용자의 장치 또는 패스키 제공자에 남깁니다. 로그인 시, 암호화된 인증이 완료되며, 비밀번호를 전송하는 것이 아닙니다.
이는 또한 사이트 데이터베이스가 유출되더라도 공격자가 다른 사이트에서 반복 입력할 수 있는 비밀번호를 직접 얻지 못함을 의미합니다. 패스키는 더 이상 반복 가능한 공유 비밀에 의존하지 않기 때문에 자격 증명 물리 공격에 대한 보호 가치를 제공합니다.
비밀번호보다 피싱에 강하지만 한계는 있다
패스키는 올바른 서비스 출처와 연결됩니다. 유사한 외관의 가짜 로그인 페이지는 전통적인 비밀번호처럼 비밀 문자를 수동으로 입력하도록 요구할 수 없습니다. 동일한 계정이 여전히 문자 인증, 약한 복구 프로세스 또는 고객 서비스 소셜 엔지니어링을 우회할 수 있는 경로를 갖고 있다면, 공격자는 상대적으로 약한 복구 통로를 공격할 수 있습니다.
활성화 전에 복구 방법을 준비하라
주 이메일, 클라우드 드라이브, 결제 도구, 업무 계정 또는 사회의 주요 계정은 패스키 활성화 시 우선적으로 고려해야 합니다. 그러나 활성화 전에 신뢰할 수 있는 복구 방법이 있는지 확인해야 하며, 예를 들어 예비 장치, 보안 키 또는 복구 코드 등도 판단해야 하며, 서비스가 여전히 약한 로그인 경로를 유지하고 있는지도 살펴보아야 합니다.
휴대폰을 바꾸거나 장치를 잃어버릴 때 명심해야 할 사항
패스키는 동기화형과 장치 종속형의 차이가 있습니다. 동기화형은 일반 사용자에게 여러 장치에서 적합하며; 장치 종속형은 특정 장치나 보안 키에 더 의존할 수 있습니다. 활성화한 후에도 계정 복구 프로세스를 확인해야 하며, 그렇지 않을 경우 장치를 잃어버릴 때 또 다른 로그인 어려움에 직면할 수 있습니다.
생체 인식 데이터는 일반적으로 사이트에 전송되지 않습니다; 지문이나 얼굴 인식은 장치 잠금을 해제할 수 있는지 확인하는 데 사용됩니다. 사이트에서 받는 것은 인증 결과이며, 당신의 지문 이미지나 얼굴 데이터가 아닙니다.