패스워드 vs 패스키, 3배와 8배

로그인할 때 지문이나 얼굴로 바로 들어가는 곳이 늘었습니다. 오래 써 온 비밀번호가 밀려나는 중입니다. 흔한 설명은 패스키가 더 안전하고 더 편하다는 것입니다.

그 설명은 맞지만 왜 그런지는 말해 주지 않습니다. 구글과 마이크로소프트가 자기 서비스에서 실제로 잰 숫자를 공개해 두었고, FIDO 얼라이언스가 구조를 문서로 적어 두었습니다. 그것을 읽으면 두 방식이 서로 다른 것을 지키려 했다는 점이 드러납니다.

3배와 8배, 그리고 초당 7,000회

마이크로소프트가 2025년 5월 1일에 올린 보안 블로그는 이렇게 적었습니다. 지난해 초당 7,000회의 비밀번호 공격을 관측했고 이는 2023년의 두 배가 넘는다는 것입니다. 패스키로 로그인하는 사용자는 비밀번호 사용자보다 계정에 들어가는 데 3배 더 자주 성공하며, 그 수치는 약 98퍼센트 대 32퍼센트입니다. 패스키 로그인은 비밀번호에 다중 인증을 더한 방식보다 8배 빠릅니다. 지금은 하루에 100만 개 가까운 패스키가 새로 등록되고, 새로 만드는 마이크로소프트 계정은 기본적으로 비밀번호 없이 시작합니다.

구글은 그보다 먼저 쟀습니다. 2023년 5월 5일 보안 블로그는 비밀번호의 평균 인증 성공률을 13.8퍼센트, 기기 안 패스키의 성공률을 63.8퍼센트로 적었습니다. 시간은 패스키가 14.9초, 비밀번호가 30.4초로 두 배 차이입니다. 2024년 5월 2일에는 패스키가 4억 개 넘는 구글 계정에서 10억 회 넘게 쓰였고 비밀번호보다 50퍼센트 빠르다고 밝혔습니다.

초당 7,000회를 하루로 늘이면 6억 회가 넘습니다. 비밀번호가 문자열이기 때문에 가능한 숫자입니다. 문자열은 서버에 대고 계속 찔러 볼 수 있습니다. 패스키에는 찔러 볼 문자열이 없습니다.

미러 이미징 - 서로를 자기 열쇠로 잽니다

비밀번호에 익숙한 쪽이 패스키를 두고 하는 말은 정해져 있습니다. 폰을 잃어버리면 어쩌느냐, 남의 컴퓨터에서는 어떻게 들어가느냐, 열쇠가 기기 안에 있다는 것이 더 불안하지 않느냐는 것입니다.

패스키로 넘어간 쪽의 말도 정해져 있습니다. 가짜 사이트에 한 번 입력하면 끝나는 문자열을 어떻게 아직도 믿느냐, 초당 7,000번 찔리는 자물쇠를 왜 쓰느냐는 것입니다.

두 말 모두 상대가 자기와 같은 것을 지키려 한다고 가정합니다. 한쪽은 어디서든 통하는 것이 열쇠의 조건이라고 보고, 다른 쪽은 어디로도 새지 않는 것이 열쇠의 조건이라고 봅니다. 조건이 다르니 같은 열쇠를 두고 정반대의 평가가 나옵니다.

비밀번호와 패스키를 가른 것은 안전의 정도가 아니라 열쇠를 사람의 머리에 둘지 기기 안에 둘지, 그리고 그 열쇠가 어느 문에나 맞게 할지 한 문에만 맞게 할지에 대한 선택입니다. 두 렌즈의 정의는 핵심이론 페이지에 정리해 두었습니다.

알로센트리즘 - 비밀번호는 이동성을, 패스키는 비밀의 자리를 지킵니다

비밀번호가 지키려 한 값은 이동성입니다. 기억만 하면 어떤 기기, 어떤 브라우저, 남의 컴퓨터에서도 들어갑니다. 서버 쪽도 간단합니다. 문자열 하나만 대조하면 됩니다. 그 대가로 같은 문자열이 사람의 머리와 서버 양쪽에 있어야 하고, 양쪽 다 공격 대상이 됩니다. 초당 7,000회라는 숫자와 13.8퍼센트라는 성공률은 이동성의 값입니다.

패스키가 지키려 한 값은 비밀의 자리입니다. FIDO 얼라이언스의 안내는 패스키를 기기 잠금을 푸는 것과 같은 방식으로 로그인하는 FIDO 인증 자격이라고 정의하고, 생체 정보는 기기에 남아 서버로 보내지지 않으며 서버는 확인이 성공했다는 보증만 받는다고 적었습니다. 열쇠는 웹사이트나 앱의 계정에 묶여 있어 피싱에 저항합니다. 가짜 사이트에서는 열쇠가 그 주소에 맞지 않으므로 서명 자체가 만들어지지 않습니다.

항목	비밀번호	패스키
열쇠가 있는 곳	사람의 머리와 서버	기기 안, 서버에는 공개키만
가짜 사이트에서	입력하면 넘어감	주소가 달라 서명 불가
로그인 성공률, 구글 측정	13.8퍼센트	63.8퍼센트
로그인 성공률, 마이크로소프트 측정	약 32퍼센트	약 98퍼센트
로그인 시간, 구글 측정	30.4초	14.9초
남의 기기에서	기억만 하면 됨	내 기기가 있어야 함

그래서 핵심 문장은 이렇게 정리됩니다. 비밀번호가 뚫리는 것은 사람들이 게을러서가 아니라 어디서든 통하게 만든 열쇠는 어디서든 시험당하기 때문입니다. 패스키가 기기에 묶이는 것은 불편이 아니라 새지 않는 열쇠를 만들려면 열쇠가 한 곳에 있어야 하기 때문입니다. 무엇이 어디에 있는지가 안전을 가른다는 점은 SMS 인증과 OTP 앱을 비교한 글에서 본 구조와 같습니다.

반론 - 숫자와 열쇠의 위치를 다시 봐야 합니다

첫째, 성공률 수치는 두 회사가 각자 자기 서비스에서 잰 것이라 절대값이 다릅니다. 구글은 13.8 대 63.8이고 마이크로소프트는 32 대 98입니다. 측정 조건이 공개되지 않았으므로 믿을 것은 절대값이 아니라 두 회사 모두에서 패스키가 3배에서 5배 높다는 방향뿐입니다.

둘째, 열쇠가 기기 안에 있다는 말은 열쇠 관리자가 기기 회사가 된다는 말이기도 합니다. 기기를 잃거나 바꿀 때 복구 경로는 애플이나 구글이나 마이크로소프트의 계정에 기댑니다. 비밀은 새지 않지만 통제의 위치가 나에게서 플랫폼으로 옮겨 갑니다.

셋째, 전환은 아직 반쪽입니다. FIDO 얼라이언스가 인용한 2024년 조사에서 계정 하나 이상에 패스키를 켠 사람은 53퍼센트였지만 가능한 모든 계정에 켠 사람은 22퍼센트였습니다. 대부분의 서비스가 비밀번호를 함께 남겨 두고 있으며, 비밀번호가 남아 있는 한 초당 7,000회의 공격면도 남아 있습니다.

결론 - 무엇을 기준으로 고르면 되는가

주로 쓰는 기기가 정해져 있고 그 기기에 잠금이 걸려 있다면 패스키로 바꾸시면 됩니다. 두 회사의 측정으로 성공률은 3배에서 5배, 시간은 절반입니다. 다만 기기를 바꿀 때 복구 경로가 어디에 있는지를 한 번 확인해 두시는 편이 좋습니다.

남의 컴퓨터나 공용 기기에서 자주 들어가셔야 한다면 비밀번호가 아직 필요합니다. 그 경우에는 비밀번호 관리자를 쓰고 가능한 곳에는 OTP 앱을 얹으시면 됩니다. 이동성을 지키는 대신 새는 구멍을 하나씩 막는 방식입니다.

결국 이 비교는 강도가 아니라 열쇠의 자리에 관한 것입니다. 머리에 두면 어디서든 통하고 어디서든 시험당하며, 기기에 두면 새지 않지만 그 기기가 있어야 합니다. 지금 어느 쪽 불편이 덜 괴로우신지가 답을 정합니다.