마이크로소프트 기업 계정, 패스키 종류 따라 로그인 제한

스마트폰 화면에 지문을 대거나 얼굴을 비추면 기기에 보관한 암호화 키로 본인임을 확인하는 로그인 방식인 패스키를 통해 비밀번호 없이 계정에 접속할 수 있다. 그런데 기업용 인증 서비스인 마이크로소프트 Entra ID에는 특정 제품의 보안 키나 패스키 제공자만 등록과 로그인에 허용하는 설정도 있다. 서비스가 사용자의 로그인 수단 선택에 조건을 붙일 수 있다는 뜻이다.

플랫폼 기업들은 패스키 도입을 추진하고 있다. 마이크로소프트는 2025년 5월 1일 신규 개인용 마이크로소프트 계정의 기본 설정을 비밀번호 없는 방식으로 바꿨다고 발표했다. 이 변경은 Xbox나 Copilot 같은 소비자 서비스를 위한 계정에 적용되므로, 기업용 Entra ID에서 조직 관리자가 정하는 인증 정책과는 적용 대상이 다르다. 신규 개인용 계정 이용자는 패스키를 비롯한 여러 접속 방식을 선택할 수 있다.

비밀번호를 쓰는 사용자는 이를 종이나 파일에 보관할 수 있다. 시간 기반 일회용 비밀번호(TOTP)의 공개 규격인 RFC 6238도 호환 소프트웨어를 고를 여지를 준다. 다만 다른 소프트웨어에서 같은 번호를 생성하려면 서비스와 공유하는 비밀키와 시간 간격 등의 매개변수를 확보해야 한다.

패스키에서는 사용자의 비밀번호 입력을 기기의 서명으로 대신한다. 패스키 관리자는 인증에 필요한 키를 생성하고 보관하는 소프트웨어다. 키를 보관하고 서명하는 장치나 소프트웨어인 인증기는 등록 때 개인키와 공개키를 한 쌍으로 생성한다. 개인키는 인증기에 보관하고, 공개키는 서비스에 전달해 등록한다. 사용자가 지문, 얼굴이나 PIN으로 사용을 승인하면 인증기는 개인키로 서버가 보낸 일회성 요청과 관련 데이터에 서명한다. 웹사이트는 등록된 공개키로 서명을 확인하므로 개인키를 서버에 보내지 않고도 사용자를 인증할 수 있다.

이 개인키의 보관 방식은 구현 방식에 따라 다르다. 패스키에서 웹사이트가 기기의 키로 사용자를 인증하는 절차를 정한 웹인증(WebAuthn) 표준은 하드웨어 보안 칩을 이용하는 구현과 일반 컴퓨터의 소프트웨어 구현을 모두 허용한다. 인증 규격을 만드는 파이도 연합(FIDO Alliance, 이하 FIDO)은 여러 기기로 키가 복사되는 동기화형 패스키와 한 기기에 키가 남는 기기 귀속형 패스키도 구분한다. 소프트웨어 사용 여부와 동기화 가능 여부는 각각 구분해야 한다.

개인키를 외부로 추출할 수 없게 설계한 하드웨어 인증기는 키를 보안 칩 안에 보관해 보호한다. 이런 기기 귀속형 구현에서는 사용자가 개인키를 파일로 복사해 다른 인증기로 옮길 수 없다. 다만 사용자는 외장 보안 키를 새 컴퓨터에 연결해 계속 사용할 수 있다. 이때 사용자는 개인키를 다른 인증기로 옮기는 대신 키를 보관한 인증기를 새 컴퓨터에서도 사용한다.

동기화형 패스키 이용자는 기기를 바꿔도 키를 계속 사용할 수 있다. 애플은 iCloud 키체인을 통해 기기 간에 패스키를 동기화한다. 이용자가 모든 기기를 잃어도 복구 절차를 이용할 수 있지만, 공식 안내의 기본 절차에 따라 iCloud 계정 인증, 등록 전화번호로 받은 문자 확인과 기기 암호 입력 등의 조건을 충족해야 한다.

이용자는 동기화와 직접 파일 백업, 다른 제공자로의 이전도 각각 지원 범위를 확인해야 한다. 패스키 관리자 Bitwarden에서는 이용자가 JSON 형식으로 패스키를 내보낼 수 있다. 다만 2024.3.1 버전 이전에 만든 패스키는 사용할 때마다 사용 횟수 기록인 카운터가 증가한다. 이용자가 내보낸 뒤에도 해당 패스키를 계속 사용하면 백업 파일에 기록된 사용 횟수가 서비스가 기대하는 사용 횟수보다 적을 수 있다. Bitwarden은 이 기록이 서비스의 기록과 어긋나면 로그인이 거부될 수 있어 해당 버전 이전의 패스키 내보내기를 장기 백업에 사용하지 말라고 안내한다. FIDO의 자격 증명 교환 규격이 정한 형식으로 제공자 간에 이전하려면 양쪽 앱이 이를 지원해야 한다.