“OTP 문자보다 이게 먼저 떠야 한다” – 패스키·보안키 시대, YubiKey가 하는 일

비밀번호도, 문자 인증도 피싱에 털리는 세상
– YubiKey 같은 보안키가 왜 ‘기본 옵션’이 되어 가는지

---

1. YubiKey는 정확히 뭐 하는 물건인가

YubiKey는 USB·NFC 형태의 작은 하드웨어 보안키로, 계정 로그인 시 비밀번호 대신 또는 비밀번호와 함께 쓸 수 있는 피싱 저항 인증 수단입니다. 이 키 안에는 웹사이트·서비스별로 생성된 비공개 키(private key)가 저장돼 있고, 사이트에 로그인할 때 FIDO2/WebAuthn 같은 표준을 통해 공개키 기반 인증을 수행합니다. 중요한 건 이 비공개 키를 키 밖으로 꺼낼 수 없다는 점으로, Reddit 사용자 설명처럼 “키가 없어지면 비밀도 같이 사라지는 구조”라 복제·탈취가 사실상 어려운 방식입니다.

2. 왜 SMS·OTP보다 강력한가 – FIDO2·WebAuthn·패스키

요즘 YubiKey가 주로 쓰이는 표준은 FIDO2 + WebAuthn입니다. 구조를 간단히 정리하면 이렇습니다.

• 웹사이트가 내 브라우저에게 “이 도메인용 키를 만들어 달라”고 요청.
• 브라우저가 YubiKey에 요청을 전달하면, 키가 새로운 공개키·비공개키 쌍을 생성.
• 공개키는 사이트에 저장, 비공개키는 YubiKey 안에만 저장.
• 이후 로그인할 때마다, 사이트가 보내는 난수 챌린지에 키가 서명해 돌려주고, 서버는 공개키로 검증.

Aujas·Corbado는 이 구조 덕분에 패스키·보안키 방식이 다음과 같은 장점을 가진다고 설명합니다.

• 피싱 저항
  - 공격자가 비슷한 가짜 사이트를 만들어도 도메인이 다르면, 브라우저·키가 아예 다른 키쌍을 쓰거나 인증을 거부합니다.
• 유출 위험 감소
  - 서버에는 공개키만 저장되므로, 데이터베이스가 털려도 비밀번호처럼 바로 계정 탈취에 쓰이지 않습니다.
• “공유 비밀”이 사라짐
  - 패스워드·OTP처럼 서버와 같은 문자열을 공유하는 구조가 아니어서, 중간에서 보는 것만으로는 재사용이 불가능합니다.

Aujas는 이런 방식을 바탕으로 한 패스키가, 주요 ID 제공자(Okta, Azure AD, Google, Apple 등)에서 기본 옵션으로 자리 잡고 있다고 정리하고, 하드웨어 키·플랫폼 키(휴대폰·PC 내 보안칩) 모두 같은 FIDO2/WebAuthn 생태계의 일부라고 설명합니다.

4. 실제로 어디에 쓰이고 있나 – 개발자·실무자 관점

이미지 출처 : Yubico

YubiKey 같은 보안키는 이미 다음과 같은 용도로 많이 쓰이고 있습니다.

• 계정 로그인·2FA
  - Google·Microsoft·GitHub·비밀번호 관리 서비스(Bitwarden 등)·은행·거래소 계정에 FIDO2/U2F 보안키 추가.
• SSH·VPN·서버 관리
  - 키 안에 저장된 인증 정보를 활용해 SSH 접속, 사내 VPN, 관리자 콘솔 로그인 시 두 번째 또는 유일한 인증 요소로 사용.
• PGP·문서 서명·디스크 암호화
  - 일부 모델은 OpenPGP·스마트카드 기능을 지원해, 이메일 암호화·코드 서명·디스크 키 관리에도 활용.

Reddit 사용자 후기를 보면, 개발자·보안 실무자들은 YubiKey를 “여러 서비스에 흩어진 개인 키 묶음을 한 번에 관리하는 가장 편한 방법”이라고 표현하며, “2FA 토큰·SSH 키·PGP 키를 하나의 실물에 통합하는 용도”로 쓰는 경우도 많다고 합니다. ZDNet·Corbado는, 이런 보안키가 특히 피싱 공격·세션 탈취를 많이 당해본 사람들에게 강력히 추천되는 도구라고 강조합니다.

5. 패스키 시대, 보안키를 볼 때 기준

앞으로 패스키·보안키를 도입하거나 쓸 때 볼 만한 포인트는 대략 이렇습니다.

• FIDO2/WebAuthn 지원 여부
  - 최신 브라우저·서비스와의 호환성을 위해 필수.
• USB‑A/USB‑C/NFC 등 인터페이스
  - 주로 쓰는 기기(노트북·데스크톱·스마트폰)에 맞는 물리 인터페이스 선택.
• 백업 키 전략
  - 분실·파손 대비 최소 2개 이상 등록, 서로 다른 장소에 보관.
• 패스키·플랫폼 키와의 조합
  - 하드웨어 키(휴대용)와 기기 내 보안칩(휴대폰·PC) 기반 패스키를 함께 등록해, 보안과 편의의 균형 맞추기.

여러 리포트가 공통으로 하는 말은 비슷합니다. “비밀번호만 쓰는 계정은 이미 한 세대 뒤처졌다”는 것. 그 다음 단계에서, 문자·OTP를 넘어서 진짜로 피싱에 버티는 수단을 고민하면, 자연스럽게 패스키와 YubiKey 같은 보안키가 선택지로 올라오게 되어 있습니다.