[Auth] passkey

References

애플‧구글‧MS, 패스키 이용 확대 합의했다 - 테크레시피

패스키의 보안에 관하여

Meet passkeys - WWDC22 - Videos - Apple Developer

 

서론

최근 Apple이 주최한 WWDC 2022(Worldwide Developers Conference)에서 여러 기술들을 발표했다.

그 중 보안과 관련된 부분에서 다음과 같은 주제를 발표했는데 바로, 패스키(Passkey)이다.

 

패스 키의 정의

패스키는 암호화 된 키(key) 형태의 데이터를 통해 인증을 거치는 기술로 기존의 패스워드와 달리 절차가 간편한 점과 보안성이 향상된 것이 특징이다.

이는 지난 5월 5일 FIDO 얼라이언스와 W3C가 다루는 로그인 표준 이용에서 비롯된 것으로, 다요소 인증(지문, 홍채, pin, sns 전송 코드 등)을 통한 일회성 암호 시스템을 가리킨다.

 

패스 키의 작동 방식 예

웹 사이트에서 계정을 만들고자 할 때 패스키의 기능을 이용하는 경우 QR코드를 유저에게 보여준다.

이 때 유저는 해당 QR코드를 휴대폰으로 스캔하게 되면 패스키가 생성되어 로그인을 할 수 있게 되는데, 나중에 다시 로그인을 하게 될 때 생성된 패스키가 휴대폰 및 PC에 동기화가 되어 있어 다요소 인증으로 간편하게 이용할 수 있다.

 

패스 키의 원리

패스 키의 경우 공개 키(Public Key) 암호화를 사용하는 WebAuthentication 표준을 기반으로 한다.

우선, 계정 등록을 하기 위해 QR 코드를 스캔하는 경우 디바이스가 쌍으로(공개키, 개인키) 고유한 암호화 키를 생성하여 앱이나 웹의 계정과 연결하는데 이때, 서버는 공개키만 저장되고 개인키는 디바이스에 저장되는 형식이다.

이 후, 다시 로그인을 할 때 서버는 유저에게 공개키가 적용된 과제를 보내면 디바이스는 이에 대응되는 개인키를 적용하여 해결된 솔루션(개인키를 보내는 것이 아닌)을 다시 보냄으로써 인증이 된다.