비밀번호를 없애는 중입니다 — 애플 암호 앱과 패스키, 지금 뭘 해두면 되나

비밀번호를 성실하게 관리하는 사람이 있다고 해 봅시다. 사이트마다 다른 값을 쓰고, 스무 자리가 넘고, 대문자와 기호가 섞여 있고, 어디에도 메모해 두지 않았습니다. 이 사람은 안전할까요.

메일 한 통이면 끝납니다. 평소에 쓰던 서비스의 로고가 박힌 메일이 오고, 링크를 누르면 평소와 똑같이 생긴 로그인 화면이 뜹니다. 주소가 한 글자 다르지만 급할 때는 보이지 않습니다. 아이디와 스무 자리 비밀번호를 입력하는 순간, 그 스무 자리는 상대방 화면에 그대로 찍힙니다. 2단계 인증 코드까지 이어서 물어보면 그것도 넘어갑니다.

여기서 알 수 있는 게 있습니다. 문제는 비밀번호가 짧거나 단순해서가 아닙니다. 비밀번호라는 방식 자체가, 로그인할 때마다 비밀을 상대에게 넘겨야 성립한다는 데 있습니다. 넘기는 순간 그 비밀은 더 이상 나만의 것이 아닙니다. 지난 몇 년간 업계가 매달려 온 일은 이 구조를 바꾸는 것이었고, 애플이 암호를 독립된 앱으로 꺼내 놓은 것도 그 흐름의 일부입니다.

설정 깊숙이 있던 것이 앱으로 나왔습니다

예전에는 저장된 아이디와 비밀번호를 보려면 설정 앱을 한참 파고 들어가야 했습니다. 자동완성으로 채워지기는 하는데, 정작 무엇이 저장돼 있는지 들여다볼 일은 거의 없는 구조였습니다.

최근 버전에서는 이것이 독립된 ‘암호’ 앱으로 분리됐습니다. 아이폰·아이패드·맥의 앱 목록에 따로 놓여 있고, 열면 잠금 해제를 거쳐 내용이 보입니다. 위치가 바뀐 것 자체는 사소해 보이지만 효과는 작지 않습니다. 눈에 보이는 곳에 있어야 정리를 하게 되기 때문입니다.

비밀번호 관리가 오랫동안 실패해 온 이유도 여기 있습니다. 대부분은 관리 도구가 없어서가 아니라, 지금 내 계정이 몇 개이고 그중 몇 개가 같은 비밀번호를 쓰는지 한 번도 본 적이 없어서 방치했습니다. 목록이 없으면 문제도 없어 보입니다. 앱으로 꺼내 놓는다는 건 그 목록을 강제로 보게 만든다는 뜻입니다.

이 앱이 실제로 담고 있는 것들

저장된 암호가 전부가 아닙니다. 실제로는 여섯 가지가 한 곳에 모여 있습니다.

저장된 암호는 우리가 아는 그것입니다. 서비스별 아이디와 비밀번호가 들어 있고, 자동완성으로 채워집니다.

패스키는 비밀번호를 대체하는 새 자격증명입니다. 뒤에서 자세히 다루겠습니다.

Wi-Fi 암호도 여기 들어옵니다. 접속했던 네트워크의 비밀번호를 확인할 수 있어서, 손님에게 알려 줄 때 공유기 밑면을 뒤집어 볼 필요가 없어졌습니다. 사무실이나 숙소에서 한 번 접속해 둔 네트워크를 나중에 다른 기기로 연결할 때도 유용합니다.

인증 코드는 2단계 인증에 쓰는 일회용 숫자입니다. 별도의 인증 앱을 쓰던 사람이라면 이쪽으로 옮겨 둘 수 있습니다. 이렇게 하면 로그인할 때 아이디·비밀번호·코드가 한 번에 채워집니다. 한 바구니에 담는 게 불안하다고 느끼실 수 있는데, 이 저장소는 기기 잠금과 계정 보호를 함께 통과해야 열립니다. 문자로 받는 코드가 통신사 단계에서 가로채질 수 있다는 점을 생각하면, 실질적인 위험은 오히려 줄어드는 쪽입니다.

보안 권장사항은 저장된 것들을 훑어 문제를 알려 주는 부분입니다. 여러 사이트에서 재사용 중인 비밀번호, 너무 쉬운 비밀번호, 그리고 외부 유출 사고에 포함된 것으로 확인된 비밀번호를 표시해 줍니다. 이 검사는 저장된 항목 전체를 대상으로 돌아가므로, 오래 쓴 계정이 많을수록 잡히는 항목도 함께 늘어납니다. 한 번도 정리한 적이 없다면 목록을 열어 확인하는 것이 먼저입니다.

공유 그룹은 가족이나 팀과 특정 항목을 안전하게 나눠 갖는 기능입니다. 메신저로 비밀번호를 보내는 것과는 성격이 완전히 다릅니다. 그룹에 넣어 둔 항목은 누군가 바꾸면 나머지에게도 반영되므로, “바꿨는데 말을 안 해서” 생기는 문제가 사라집니다.

패스키는 비밀을 넘기지 않습니다

패스키의 원리는 공개키 암호입니다. 웹 인증 표준(FIDO2·WebAuthn 계열)을 바탕으로 하며, 애플만의 독자 규격이 아닙니다.

어떤 서비스에 패스키를 등록하면 열쇠 한 쌍이 만들어집니다. 개인키는 내 기기 쪽에 남고, 공개키만 서비스 서버로 넘어갑니다. 로그인할 때는 서버가 임의의 값을 하나 던지고, 내 기기가 개인키로 그 값에 서명해 돌려보냅니다. 서버는 갖고 있는 공개키로 서명이 맞는지 확인합니다. 이 과정 어디에서도 개인키 자체는 오가지 않습니다.

여기서 두 가지가 따라 나옵니다.

하나, 서비스 서버가 털려도 로그인에 쓸 비밀은 유출되지 않습니다. 공격자가 얻는 것은 공개키뿐이고, 공개키로는 서명을 만들 수 없습니다. 비밀번호 유출 사고가 터질 때마다 여러 사이트를 돌며 바꿔야 했던 이유가 애초에 사라집니다.

둘, 그리고 이쪽이 더 중요합니다. 패스키는 등록된 도메인에 묶여 있습니다. 진짜 사이트에 등록한 패스키는 주소가 다른 가짜 사이트에서는 아예 꺼내지지 않습니다. 사용자가 속았는지 아닌지와 무관하게, 브라우저와 운영체제 단계에서 동작하지 않습니다. 앞서 본 피싱 시나리오가 여기서 끊깁니다. 넘겨줄 비밀이 없고, 넘겨주려 해도 상대가 가짜면 기계가 거부합니다.

얼굴이나 지문으로 잠금을 푸는 절차는 이 그림에서 어디에 있을까요. 생체정보가 서버로 가는 게 아닙니다. 내 기기 안에서 개인키를 써도 좋다고 승인하는 절차일 뿐입니다. 인증 요소로 따지면 ‘가지고 있는 것(기기)’과 ‘나 자신인 것(생체)’을 한 번에 확인하는 셈이고, 그래서 별도의 2단계 인증 없이도 두 요소가 충족됩니다.

패스키는 iCloud 키체인을 통해 같은 계정의 기기들에 동기화되며, 이 저장소는 종단간 암호화됩니다. 애플도 내용을 읽을 수 없는 구조라는 뜻입니다.

실제로 만들어 보면 허무할 만큼 간단합니다

원리는 복잡한데 사용자가 하는 일은 몇 초짜리입니다.

이미 로그인해 둔 서비스에서 계정 또는 보안 관련 설정을 찾아 들어가면, 패스키를 추가하는 항목이 있는 경우가 있습니다. 이름은 서비스마다 다릅니다. 누르면 기기가 잠금 해제를 요구하고, 승인하면 끝입니다. 사용자가 외울 것도, 적어 둘 것도 생기지 않습니다.

다음 로그인부터는 아이디를 넣는 화면에서 곧바로 확인 창이 뜹니다. 얼굴이나 지문으로 승인하면 들어가집니다. 비밀번호를 치는 단계도, 문자로 온 숫자를 옮겨 적는 단계도 없습니다. 회원가입 단계에서부터 패스키를 만들게 하는 서비스도 늘고 있는데, 이 경우에는 애초에 비밀번호가 생기지 않습니다.

여기서 눈여겨볼 지점이 있습니다. 보안을 강화하는 조치는 보통 사용자를 불편하게 만듭니다. 더 긴 비밀번호, 더 자주 바꾸기, 추가 인증 단계가 그랬습니다. 그래서 사람들은 규칙을 우회했습니다. 같은 비밀번호를 돌려쓰고, 뒤에 숫자만 하나씩 올렸습니다. 패스키가 의미 있는 이유는 안전해지면서 동시에 더 편해지는 드문 경우이기 때문입니다. 보안 대책이 지켜지려면 편해야 합니다.

그래도 아직은 과도기입니다

좋은 이야기만 하면 실전에서 당황하게 되므로, 한계도 같이 짚겠습니다.

첫째, 모든 서비스가 지원하지 않습니다. 큰 플랫폼과 금융권을 중심으로 늘고 있지만 여전히 비밀번호만 받는 곳이 많습니다.

둘째, 더 성가신 문제입니다. 패스키를 등록해도 기존 비밀번호가 대개 그대로 남습니다. 그러면 공격자는 어려운 문을 놔두고 쉬운 문으로 갑니다. 패스키를 만들어도 옛 비밀번호가 살아 있으면 보안 수준은 그 옛 비밀번호가 결정합니다. 패스키 등록 뒤에 비밀번호를 지울 수 있으면 지우고, 지울 수 없으면 길고 무작위한 값으로 바꿔 두어야 합니다. 어차피 외울 필요가 없으니 길이를 아낄 이유도 없습니다.

셋째, 기기를 잃어버렸을 때입니다. 패스키가 iCloud 키체인에 동기화돼 있다면 새 기기에서 계정 로그인 후 복구됩니다. 문제는 그 계정 자체에 접근하지 못하는 상황입니다. 그래서 복구 수단을 미리 만들어 두는 일이 패스키를 쓰는 것보다 먼저입니다. 다만 애플 계정 복구 절차는 잘못 안내하면 오히려 위험하므로, 반드시 애플 공식 안내를 그대로 따르시기 바랍니다. 인터넷의 요약글을 보고 진행할 일이 아닙니다.

넷째, 다른 플랫폼에서 쓸 때입니다. 윈도우 PC나 안드로이드 기기에서 애플에 저장한 패스키로 로그인하려면, 화면에 뜬 QR 코드를 아이폰으로 찍어 근처 기기끼리 확인하는 방식을 쓰거나, 브라우저용 확장 프로그램을 설치해야 합니다. 되기는 되지만 한 단계가 더 붙습니다.

다섯째, 서비스 사이의 이사입니다. 다른 암호 관리 서비스로 옮길 때 자격증명을 통째로 안전하게 넘기는 방식은 업계에서 표준화 논의가 진행돼 왔습니다. 여러 회사가 참여하고 있고 순차적으로 구현되는 중이지만, 지금 시점에 어떤 조합에서 무엇이 되는지는 각 서비스의 안내를 확인하는 편이 정확합니다.

실무 적용 — 그래서 뭘 하면 되나

• 중요한 계정부터 패스키를 만든다 — 메일, 클라우드, 금융, 그리고 소셜 로그인의 뿌리가 되는 계정 순서입니다. 이 넷이 뚫리면 나머지는 도미노로 넘어갑니다.
• 보안 권장사항 목록을 한 번은 끝까지 본다 — 재사용·유출 경고가 뜬 항목을 위에서부터 처리하십시오. 한 번에 다 못 하면 하루 다섯 개씩만 정하고 진행해도 됩니다.
• 인증 코드를 한 곳으로 모은다 — 흩어진 2단계 인증을 암호 앱으로 옮기면 로그인 절차가 짧아지고, 기기를 바꿀 때 코드를 통째로 잃는 사고가 줄어듭니다.
• 가족·팀 계정은 공유 그룹으로 정리한다 — 메신저나 메모로 돌려쓰는 비밀번호를 그룹으로 옮기십시오. 한 사람이 바꿔도 나머지가 그대로 씁니다.
• 복구 수단을 먼저 점검한다 — 신뢰하는 연락처나 복구 키 같은 장치를 확인해 두시기 바랍니다. 세부 절차는 애플 공식 안내를 따르고, 정리 작업은 그다음입니다.
• 패스키를 만든 뒤 남은 비밀번호를 갈아엎는다 — 지울 수 있으면 지우고, 못 지우면 길고 무작위한 값으로 바꿉니다. 뒷문을 열어 둔 채 앞문만 튼튼하게 만드는 건 의미가 없습니다.

자물쇠의 역사는 더 복잡한 비밀을 만드는 방향으로 오래 흘러왔습니다. 스무 자리, 서른 자리로 늘려 가는 경쟁이었습니다. 지금 일어나는 변화는 방향이 다릅니다. 비밀을 아예 넘기지 않는 쪽으로 옮겨 가는 중입니다. 전환이 끝나려면 몇 년은 더 걸리겠지만, 계정 서너 개에 패스키를 만들어 두고 유출 경고 목록을 정리해 두는 일은 오늘 저녁에 할 수 있습니다. 그 정도만 해 둬도 피싱 메일 한 통에 무너지는 경우의 수는 크게 줄어듭니다.

이 글은 애플 공식 지원문서와 플랫폼 보안 문서를 바탕으로 정리했습니다. 암호 앱과 패스키 관련 메뉴 경로·항목 이름은 iOS·iPadOS·macOS 버전에 따라 다르게 표시될 수 있으므로, 화면의 명칭이 본문과 다르면 같은 목적의 항목을 찾아 적용하시기 바랍니다. 애플 계정 복구와 관련한 설정은 잘못 다루면 계정 접근이 막힐 수 있으니 반드시 애플 공식 안내를 확인한 뒤 진행하십시오.