패스워드 vs 패스키, 인증의 전환

로그인할 때 지문이나 얼굴로 바로 들어가는 서비스가 부쩍 늘었습니다. 오래 써온 비밀번호가 왜 밀려나는지, 그 전환의 속을 알로센트리즘의 렌즈로 들여다보겠습니다.

패스워드와 패스키, 무엇이 다른가

패스워드는 사용자가 문자열을 기억했다가 입력하는 방식입니다. 사용자와 서버가 같은 비밀을 나눠 갖고, 입력한 값이 일치하면 문을 여는 구조입니다. 패스키는 다릅니다. 기기 안에서 개인키와 공개키 한 쌍을 만들어, 공개키만 서버에 보내고 개인키는 기기 밖으로 내보내지 않습니다. 로그인할 때는 서버가 보낸 문제를 기기가 개인키로 서명해 답하고, 그 잠금은 지문이나 PIN으로 국소적으로 풉니다. 하나는 기억에 기대고, 다른 하나는 기기가 대신 증명합니다.

미러 이미징 — 비밀번호가 편한데 왜 바꾸나

익숙함은 종종 판단을 흐립니다. 오래 써서 불편함을 못 느끼는 사용자는 패스키를 번거로운 신기술로 여기고, 멀쩡한 방식을 왜 자꾸 바꾸느냐고 묻습니다. 이것이 미러 이미징입니다. 새 방식도 옛 방식과 같은 문제를 풀려 한다고 가정하는 것입니다. 그러나 패스키가 겨눈 것은 편의가 아니라 구조입니다. 공유된 비밀은 아무리 복잡해도 유출되거나 가짜 사이트에 속아 넘어갈 수 있다는, 패스워드의 근본적 약점을 노린 것입니다.

저는 오랫동안 비밀번호를 길고 복잡하게 만드는 데 애써 왔습니다. 그런데 패스키를 알고 나니, 문제는 비밀번호의 길이가 아니라 비밀을 공유한다는 발상 자체였습니다.

미러 이미징은 다른 제품도 내가 쓰는 것과 같은 논리로 만들어졌으리라 단정하는 착각입니다. 알로센트리즘은 그 반대편에서, 평가의 중심을 내 기준이 아니라 상대의 설계 의도에 두는 사고입니다.

알로센트리즘 — 패스키가 풀려는 문제로 보기

알로센트리즘의 관점에서 보면 패스키의 낯선 절차에는 이유가 있습니다. 개인키를 기기에 가두는 것은 불편이 아니라, 서버가 털려도 훔쳐 갈 비밀이 없도록 만든 설계입니다. 특정 사이트에서만 작동하도록 묶은 것은 제약이 아니라, 가짜 사이트에서는 열쇠가 아예 반응하지 않게 한 피싱 방어입니다. 앞서 Chat GPT와 클로드를 비교한 글에서처럼, 겉의 불편함 아래에는 대개 분명한 의도가 있습니다.

전환의 현실과 반론

전환은 이미 진행 중입니다. 2026년 현재 애플과 구글, 마이크로소프트가 공통 표준인 FIDO를 함께 밀고 있고, 전 세계에서 수십억 개의 패스키가 쓰이고 있습니다. 다만 패스키가 만능은 아닙니다. 기기를 잃었을 때의 복구, 여러 기기 간 동기화, 남의 기기에서의 임시 로그인 같은 과제가 남아 있습니다. 그래서 당분간 패스워드는 사라지기보다 예비 수단으로 남을 가능성이 큽니다. 중요한 것은 둘 중 하나를 미워하는 일이 아니라, 각 방식이 어떤 상황을 위해 만들어졌는지를 아는 일입니다.

결론

패스워드에서 패스키로의 이동은 단순한 유행이 아니라 인증을 바라보는 관점의 전환입니다. 무엇을 기억하는가에서 무엇을 지니고 있는가로 중심이 옮겨 간 것입니다. 낯선 방식을 밀어내기 전에 그것이 풀려는 문제를 먼저 헤아려 보시길 권합니다. 다음 글에서는 충전과 연결의 표준, USB-C와 독자 단자를 같은 렌즈로 비교하겠습니다.