디지털 자격증명과 패스키: 공통점과 차이점

• 🔑 패스키: 안전한 로그인용. 사용자가 누구인지 증명(인증)하고 피싱을 효과적으로 방어합니다.
• 📄 디지털 자격증명: 검증 가능한 증명용. 사용자에 대한 사실(증명, 예: 신분증, 기술)을 증명하며, 공유할 내용을 직접 제어할 수 있습니다.
• 🤝 공통점: 둘 다 강력한 암호 기술을 사용하여 비밀번호보다 더 나은 보안과 원활한 사용자 경험을 제공합니다.
• 🎯 차이점: 패스키는 주로 서비스에 _접근_하는 데 사용됩니다. 디지털 자격증명은 자신에 대한 _검증된 정보를 제공_하는 데 사용됩니다.

디지털 환경은 빠르게 변화하고 있습니다. 이러한 변화는 기존의 비밀번호와 공유 비밀 정보가 계속해서 실패하고 있기 때문만이 아닙니다. 피싱이나 AI 기반 딥페이크와 같은 공격이 점점 더 정교해지고 탐지하기 어려워지고 있기 때문이기도 합니다. 이러한 진화된 위협은 신중한 사용자조차 속일 수 있으며, 기존의 신원 확인 방식을 신뢰할 수 없게 만듭니다. 이는 누군가의 신원을 확인하는 유일하고 진정으로 안전한 방법이 디지털 암호 증명임을 명확히 보여줍니다. 이러한 어려운 상황에서 우리는 온라인에서 상호작용할 수 있는 더 안전하고, 사용자 친화적이며, 암호학적으로 검증 가능한 방법이 시급히 필요합니다. 이러한 필요성으로 인해 이미 널리 사용되는 패스키와 이제 막 시작하는 디지털 자격증명이라는 두 가지 핵심 기술이 중요해졌습니다. 이 기술들은 점점 더 위조하기 쉬워지는, 사람이 확인하는 주장에 의존하지 않습니다. 대신 기계로 검증 가능한 암호 증명을 사용하여 진정한 신뢰를 구축합니다.

패스키는 2023-2025년 사이에 사용량이 크게 증가했습니다. 이는 Apple, Google, Microsoft와 같은 주요 기업과 FIDO Alliance의 강력한 지원 덕분입니다. 견고한 W3C WebAuthn 표준을 기반으로 하는 패스키는 취약한 공유 비밀 정보로부터의 근본적인 변화입니다. 비밀번호 대신 공개 키 암호 기술을 사용합니다. 여기서는 사용자의 기기에 안전하게 저장된 개인 키가 신뢰 당사자(RP)의 챌린지에 서명합니다. 이를 통해 사용자는 키 자체를 노출하지 않고 키를 소유하고 있음을 증명할 수 있습니다.

이러한 암호 기술 덕분에 패스키는 피싱이 매우 어렵습니다. 이는 때로는 딥페이크를 사용하여 더 진짜처럼 보이는 피싱 공격이 교묘해지는 상황에서 큰 장점입니다. 패스키는 생성된 특정 웹사이트나 앱에 귀속되므로, 사용자가 실수로 가짜 사이트에서 사용할 수 없습니다. 이는 이러한 진화된 속임수에 취약한 기존 로그인 방식의 일반적인 문제입니다. 패스키는 또한 비밀번호 재사용과 데이터 유출 후 발생하는 크리덴셜 스터핑의 위험을 막아줍니다. 보안뿐만 아니라, 패스키는 로그인 경험을 훨씬 더 좋게 만듭니다. 더 빠르고, 종종 Face ID나 지문과 같은 생체 인식 스캔만으로 충분하므로 사용자가 긴 비밀번호를 기억하거나 입력할 필요가 없습니다. 이러한 향상된 보안과 사용 편의성의 조합 덕분에 패스키는 빠르게 대중화되었습니다.

동시에, 디지털 신원 지갑에 보관되는 디지털 자격증명에 대한 논의가 훨씬 더 많아졌습니다. EU 디지털 신원 지갑(EUDI Wallet)이 이러한 추세의 좋은 예입니다.

개인 키를 제어하고 있음을 보여줌으로써 누구인지 증명하는 _인증_에 주로 사용되는 패스키와 달리, 디지털 자격증명(W3C Verifiable Credentials(VCs) 또는 ISO mdocs와 같은 표준 기반)은 암호학적으로 검증 가능한 증명(디지털 서명된 클레임으로 사용자에 대한 사실 증명)에 관한 것입니다. 이러한 클레임을 강력하게 검증할 수 있는 능력은 특히 딥페이크가 기존 증거의 설득력 있는 위조품을 만들 수 있는 지금, 중요합니다. 암호학적 확인 없이는 전문가조차 진짜를 구별하기 어려울 수 있습니다. 이를 통해 사람들은 이름, 생년월일, 운전면허증, 학력 또는 직업 증명서와 같은 검증된 정보를 암호학적으로 안전하고, 개인정보를 존중하며(사용자가 필요한 것만 공유하도록 허용), 기계로 확인할 수 있는 방식으로 디지털로 휴대하고 제시할 수 있습니다.

이 두 기술의 등장은 우연이 아닙니다. 이는 업계가 중앙 집중식, 비밀번호 기반 신원 시스템에서 암호학적 신뢰에 기반한 보다 분산되고 사용자 중심적인 모델로 이동하는 더 넓은 움직임을 보여줍니다. 비밀번호는 온라인 보안의 알려진 약점입니다. 신원 정보를 공유하는 기존 방식은 종종 번거롭고, 안전하지 않으며, 너무 많은 데이터를 공유하여 사용자 개인정보를 해칩니다. 패스키는 인증의 약점을 직접적으로 해결합니다. 디지털 자격증명은 속성을 안전하게, 사용자 제어 하에 공유하는 문제를 다룹니다. 둘 다 유사한 암호 기술을 사용하고 플랫폼 통합 및 보안 하드웨어에 점점 더 의존하며, 우리의 디지털 신원 시스템을 훨씬 더 좋게 만들기 위한 공동의 노력을 보여줍니다.

패스키가 '로그인'을 처리하고 디지털 자격증명이 '속성 증명'을 처리하는 동안, 이들은 유사한 암호학적 기초를 사용하며 신뢰할 수 있는 디지털 상호작용을 설정하는 데 상호 보완적인 역할을 합니다. 교묘한 피싱 및 딥페이크와 같은 현재의 위협이 기존의 비암호학적 신원 확인 방식을 안전하지 않게 만들기 때문에 이는 우리가 정말로 필요로 하는 것입니다. 이것이 우리를 주요 질문으로 이끕니다: 패스키와 디지털 자격증명은 어떻게 연결되며, 일상적인 사용자 상황에서 어떻게 함께 작동할 수 있을까요?

이 글에서는 이러한 시너지를 탐구합니다. 우리는 그들의 차이점과 유사점, 이를 가능하게 하는 프로토콜, 보안 하드웨어에 대한 공동 의존성, 그리고 사용자 온보딩, 스텝업 인증을 통한 로그인, 기기 마이그레이션과 같은 시나리오에서 어떻게 맞물릴 수 있는지 살펴볼 것입니다. 또한 Digital Credentials API와 같은 새로운 브라우저 표준이 이러한 세계를 어떻게 연결하고자 하는지에 대해서도 다룰 것입니다. 이 글은 이미 제공된 Digital Credentials API에 대한 더 심층적인 기술 탐구 자료를 보완하며, 이 기술들 간의 _상호작용_에 특히 초점을 맞춥니다.

패스키와 디지털 자격증명이 어떻게 함께 작동할 수 있는지 이해하려면, 먼저 그들의 뚜렷한 특징과 이를 뒷받침하는 기술적 계층을 파악하는 것이 중요합니다.

다음 표는 높은 수준의 비교를 제공합니다:

이 비교는 둘 다 신뢰를 위해 암호 기술을 활용하지만, 주요 기능과 일반적인 사용 패턴은 상당히 다르다는 점을 강조합니다. 패스키는 빈번하고 안전한 인증에 최적화되어 있는 반면, 디지털 자격증명은 사용자 동의 하에 검증 가능한 속성을 제공하는 데 탁월합니다.

패스키는 여러 주요 표준의 상호작용을 통해 구현됩니다:

• WebAuthn (Web Authentication): 이 W3C 표준은 웹 애플리케이션이 패스키를 등록(navigator.credentials.create())하고 인증(navigator.credentials.get())하기 위해 인증자와 상호작용하는 데 사용하는 JavaScript API를 정의합니다. 이는 신뢰 당사자의 웹 애플리케이션과 사용자의 브라우저 또는 운영 체제 사이의 다리 역할을 합니다. WebAuthn은 W3C의 일반적인 Credential Management API를 확장합니다.

• CTAP (Client to Authenticator Protocol): FIDO Alliance에 의해 정의된 CTAP는 클라이언트(브라우저 또는 OS)가 인증자 장치와 통신하는 방법을 명시합니다. 이는 장치에 내장된 플랫폼 인증자(TPM 또는 Secure Enclave와 같은 보안 하드웨어 사용)일 수도 있고, USB 보안 키와 같은 로밍 인증자 또는 다른 장치의 인증자 역할을 하는 휴대폰일 수도 있습니다. CTAP2는 FIDO2 및 패스키와 연계된 버전으로, USB, NFC, Bluetooth Low Energy(BLE)와 같은 다양한 전송 방식을 지원합니다.

• 고급 신뢰 신호 및 기기 귀속 (동기화된 패스키에 대한 고려사항): 패스키가 여러 기기에서 동기화될 수 있도록 진화함에 따라("다중 기기 자격증명"), 신뢰 당사자(RP)는 때때로 위험 평가를 위해 인증 중에 사용된 특정 물리적 장치를 식별해야 했습니다. devicePubKey 및 supplementalPubKeys 확장과 같은 초기 아이디어는 이 문제를 해결하려 했지만 나중에 폐기되었습니다. FIDO Alliance의 신뢰 신호 워킹 그룹이 현재 대체 방안을 개발하고 있습니다. 여기서 핵심 아이디어는 동기화된 패스키를 가진 인증자가 기기에 귀속된 두 번째 키 쌍을 또한 생성하고 사용할 수 있다는 것입니다. 인증 중에 인증자는 주 동기화 키와 이 두 번째 기기 귀속 키 모두에서 서명을 제공할 수 있습니다. 이를 통해 RP는 특정 신뢰할 수 있는 장치를 인식할 수 있습니다. 이는 주 패스키가 여러 장치에 동기화되어 있더라도 마찰을 줄일 수 있음을 의미합니다(예: 추가 챌린지 건너뛰기). 이는 동기화된 패스키의 주요 이점인 여러 장치에서의 사용성을 잃지 않으면서 가능합니다. 아직 이에 대한 최종 표준은 없지만, 이러한 기능은 높은 보증 수준을 요구하는 RP의 핵심 요구 사항을 충족시켜 새로운 장치 사용을 더 잘 감지하거나 내부 Strong Customer Authentication(SCA) 규칙을 충족시킬 수 있게 해줄 것입니다.

마찬가지로, 디지털 자격증명 생태계는 작동하기 위해 일련의 프로토콜과 새로운 API에 의존합니다:

• Digital Credentials API: 이것은 새로운 W3C 사양 노력으로, 웹 애플리케이션이 표준화된 방식으로 사용자의 디지털 지갑에서 Verifiable Credentials를 요청할 수 있도록 navigator.credentials.get() API를 확장하는 것을 목표로 합니다. 이는 WebAuthn과 유사한 목적을 수행하지만 패스키 대신 VC에 중점을 둡니다.
• OpenID for Verifiable Presentations (OpenID4VP): 이는 OAuth 2.0을 기반으로 구축된 프로토콜로, 검증자(자격증명을 요청하는 RP)가 소유자의 지갑에서 VC를 요청하는 방법을 정의합니다. 주요 요소에는 필요한 자격증명 및 클레임을 지정하는 presentation_definition, 인증 서버 역할을 하는 지갑, 그리고 Verifiable Presentation을 검증자에게 다시 전달하는 vp_token이 포함됩니다.
• OpenID for Verifiable Credential Issuance (OpenID4VCI): OpenID4VP를 보완하는 이 표준은 발급자가 소유자의 지갑에 VC를 전달하는 방법을 표준화하며, 이 역시 OAuth 2.0 메커니즘을 사용합니다. 여기에는 Credential Offers, 사전 승인 또는 인증 코드 흐름, 전용 자격증명 엔드포인트와 같은 개념이 포함됩니다.
• ISO 표준 (예: ISO/IEC 18013-7, ISO/IEC 23220): 이러한 국제 표준은 모바일 운전면허증(mDL) 및 기타 유형의 모바일 문서(mdoc)에 특히 중요합니다. ISO 18013-5는 핵심 mDL 데이터 구조와 오프라인 프레젠테이션(NFC, BLE)을 정의하는 반면, ISO 18013-7 및 23220은 REST API 및 OpenID4VP와의 통합 프로필(18013-7의 부록 B)을 포함한 온라인 프레젠테이션 메커니즘을 명시합니다. Google Wallet 및 Apple Wallet과 같은 플랫폼은 이러한 ISO 표준을 활용합니다.

서로 다른 목적과 프로토콜에도 불구하고, 패스키와 디지털 자격증명은 기본적인 구성 요소를 공유합니다:

• 비대칭 암호 기술: 둘 다 공개-개인 키 쌍에 크게 의존합니다. 패스키는 인증 중에 소유권을 증명하기 위해 개인 키를 사용합니다. 디지털 자격증명은 발급자의 개인 키를 사용하여 자격증명에 서명하여 그 진위성과 무결성을 보장하며, 소유자는 자신의 개인 키를 사용하여 자격증명이 포함된 프레젠테이션에 서명할 수 있습니다.
• 보안 하드웨어: 개인 키를 보호하는 것이 가장 중요합니다. 두 기술 모두 최신 장치에 통합된 보안 하드웨어 구성 요소로부터 큰 이점을 얻습니다:
  • TPM (Trusted Platform Module): 노트북과 데스크톱에서 흔히 볼 수 있는 전용 칩으로, 안전한 키 생성, 저장 및 암호화 작업을 제공합니다. Windows Hello와 같은 플랫폼 인증자에서 일반적으로 사용됩니다.
  • Secure Enclave: iPhone, iPad, Mac의 주 프로세서와 격리된 Apple의 하드웨어 기반 키 관리자로, 패스키 개인 키를 포함한 민감한 데이터를 보호하는 데 사용됩니다.
  • Android Keystore System / StrongBox Keymaster: Android는 하드웨어 지원 Keystore를 제공하며, 종종 전용 보안 프로세서(StrongBox Keymaster)를 사용하여 구현되어 Android 장치에서 암호화 키를 강력하게 보호합니다. 일부 비밀번호 관리자는 "Strongbox"라는 이름을 사용하지만, OS에서 제공하는 기본 보안 하드웨어 요소가 핵심적인 역할을 합니다.

동일한 보안 하드웨어 요소(TPM, Secure Enclave, Android의 하드웨어 지원 Keystore)를 패스키 작업과 디지털 지갑 내 개인 키 보안에 모두 사용하는 것은 상당한 시너지를 창출합니다. 플랫폼은 각 기능에 대해 별도의 보안 칩이 필요하지 않습니다. 대신, 단일의 강력한 하드웨어 기반과 관련 운영 체제 API(Android Keystore 또는 Apple의 Secure Enclave용 API 등)를 사용하여 인증 자격증명(패스키)과 증명 자격증명(VC)을 모두 강력하게 보호할 수 있습니다. 이는 개발을 더 쉽게 만들고, 보안 일관성을 향상시키며, 기존 플랫폼 투자를 잘 활용합니다.

또한, 브라우저의 Credential Management API(navigator.credentials)는 핵심적인 조직 계층입니다. 처음에는 WebAuthn에 의해 패스키용으로 확장되었고, 이제는 Digital Credentials API에 의해 VC용으로 더욱 확장되고 있습니다. 이는 명확한 계획을 가리킵니다: RP에게는 다양한 자격증명을 요청하는 하나의 주요 방법을 제공하고, 사용자에게는 익숙한 방법으로 이를 선택할 수 있게 하는 것입니다(Android의 자격증명 관리자나 내장 브라우저 비밀번호 관리자를 통해). 이는 CTAP, OID4VP, ISO와 같은 복잡한 기술적 세부 사항을 숨겨 개발자와 사용자 모두에게 일을 더 쉽게 만들어 줄 것입니다.

신뢰 당사자(RP)의 관점에서, 패스키와 디지털 자격증명을 효과적으로 통합하고 활용하는 방법을 이해하는 것은 보안 강화, 사용자 경험 개선, 규제 요구사항 충족에 매우 중요합니다. 이 섹션에서는 RP가 다양한 일반적인 시나리오와 생태계에서 이러한 기술을 어떻게 배포할 수 있는지 분석합니다.

패스키와 디지털 자격증명의 최적 통합 전략은 특정 사용 사례와 관련된 위험 프로필 및 요구사항에 따라 크게 달라집니다. 다음 표는 일반적인 시나리오에 대한 높은 수준의 비교를 제공합니다:

생태계 시나리오 비교

범례:

• VC 역할 🆔: VC가 여러 시나리오에서 초기 온보딩/KYC에 자주 사용된다는 점을 인정하면서, 주요 상호작용 중의 역할을 설명합니다.
• 기기 귀속? 🔗: 특히 동기화된 패스키와 관련하여, 표준 패스키 출처 귀속을 넘어서는 명시적인 기기 귀속의 필요성을 나타냅니다.
• EU EUDI Wallet 의무화*: 이 시나리오는 다가오는 eIDAS 2 규정(Art 5f)에 따른 요구사항을 반영하며, 최종 이행법 발효 후 약 36개월(아마도 2020년대 후반)에 적용될 것으로 예상됩니다.

이 비교는 간략한 개요를 제공하며, 다음 섹션에서는 RP의 통합 관점에서 각 시나리오의 세부 사항을 자세히 살펴봅니다.

• 목표: 우수한 기본 보안을 갖춘 빠르고 마찰이 적은 접근.
• 예상 흐름:
  • 기본 인증: 패스키가 지배적일 것입니다. 피싱 저항성과 원활한 UX(종종 생체 인식/PIN만으로 충분) 덕분에 빈번한 로그인 시나리오에서 비밀번호를 대체하기에 이상적입니다.
  • 디지털 자격증명 역할: 핵심 로그인에서는 최소한의 역할을 합니다. VC는 로그인 후 특정 작업(예: 제한된 상품 구매 시 연령 확인), 검증된 속성에 기반한 개인화(예: 로열티 상태), 또는 초기 가입 시 프로필 작성 간소화를 위해 선택적으로 사용될 수 있습니다.
• 상호작용: 패스키는 핵심 로그인을 처리하고, VC는 선택적인 속성 기반 상호작용을 위해 사용됩니다.

• 목표: 높은 보증 수준의 로그인 및 필요한 경우 검증된 신원 어설션.
• 예상 흐름:
  • 자체 완결형 2FA/MFA로서의 패스키: 패스키는 로그인 과정에서 사용자 확인(PIN/생체 인식)이 발생할 때 본질적으로 2단계 인증 요구사항을 충족합니다. 이는 다음을 결합합니다:
    • 소유: 개인 키 제어 증명.
    • 지식/고유성: PIN 또는 생체 인식을 통한 사용자 확인. 이로 인해 패스키 로그인 자체가 강력하고 피싱에 강한 MFA 방법이 되어, 2FA 달성을 위해 별도의 두 번째 단계가 필요 없는 많은 고신뢰 시나리오에 충분합니다.
  • 신원 확인을 위한 스텝업 (일회성): 서비스가 돌아온 사용자를 인증하는 것 이상으로 _명시적으로 신원을 확인_해야 할 때 디지털 자격증명을 통한 추가 단계의 필요성이 발생합니다. 딥페이크가 시각적 또는 문서 기반 ID를 설득력 있게 위조할 수 있는 상황에서 이러한 강력한 암호학적 확인은 필수적입니다. 신뢰할 수 있는 출처의 디지털 암호 증명만이 속성을 안정적으로 확인할 수 있습니다. 이는 다음과 같은 경우에 필요할 수 있습니다:
    • 초기 온보딩 중.
    • 확인된 신원 속성이 필요한 특정 고위험 작업. 이 경우 RP는 패스키 로그인 후 사용자의 지갑에서 특정 Verifiable Credential(예: PID, 국가 ID 자격증명) 제시를 요청합니다.
  • 복구를 위한 신원: 사용자의 신원이 강력하게 확인되면(예: VC 제시 스텝업을 통해), 이 검증된 신원 정보는 안전한 계정 복구 흐름에 활용될 수 있습니다. 예를 들어, 사용자가 모든 패스키 인증자를 분실한 경우, 고신뢰 신원 자격증명을 제시하는 것이 접근 권한을 되찾고 새로운 패스키를 등록하는 과정의 일부가 될 수 있습니다.
• 상호작용: 패스키는 인증을 위한 견고하고 자체 완결적인 2FA/MFA를 제공합니다. VC는 필요할 때 명시적인 신원 확인을 위해 전략적으로 사용되며, 이 검증된 신원은 안전한 계정 복구 메커니즘을 지원할 수도 있습니다.

• 목표: 사용자 마찰을 최소화하면서 간소화되고 안전한 체크아웃 또는 결제 개시.
• 예상 흐름:
  • 결제를 위한 인증: 패스키는 사용자가 자신의 결제 서비스 제공업체(PSP) 계정(예: PayPal)에 인증하거나 판매자의 체크아웃 흐름 내에서 직접 인증하는 데 이상적입니다. 이는 비밀번호를 대체하고 결제 개시를 위한 빠르고 안전한 확인을 제공합니다.
  • 온보딩/KYC: VC는 PSP 또는 판매자와의 온보딩 또는 계정 설정 단계에서 여전히 중요하며, 결제 기능을 활성화하는 데 필요한 검증된 신원 정보(KYC/AML 확인)를 제공합니다.
  • 거래 마찰 우려: 핵심 결제 승인 흐름 중에 별도의 Verifiable Credential 제시 단계를 도입하는 것(디지털 신원 지갑과의 상호작용 필요)은 원활한 패스키 확인 단계에 비해 상당한 마찰을 추가할 것입니다. 이러한 사용자 경험의 중단은 전환율에 해를 끼칠 가능성이 높으므로 일반적인 저마찰 결제 시나리오에는 부적합합니다.
• 상호작용: 패스키는 결제 행위 자체에 대한 인증을 보호합니다. VC는 결제 계정을 설정하는 데 필요한, 종종 일회성인 신원 증명/KYC를 처리하지만, 중요하고 마찰에 민감한 결제 확인 단계에서는 제외됩니다. (디지털 자격증명을 직접 결제 수단으로 사용하는 복잡한 주제, 즉 다양한 지갑 유형과 새로운 브라우저 API가 이러한 결제 관련 VC를 어떻게 활성화하거나 상호작용할 수 있는지에 대해서는 곧 나올 보완 기사 '디지털 자격증명과 결제'에서 자세히 다룹니다.)

• 목표: 기존 인증 방법에서 업그레이드하여 특히 피싱 관련 사기를 크게 줄이면서 안전한 은행 접근을 확보하는 것.
• 예상 흐름:
  • 기존 MFA 대체: 많은 금융 기관(FI)이 현재 비밀번호와 SMS OTP와 같은 피싱에 취약한 두 번째 요소를 결합하여 사용하고 있습니다. 패스키는 단일 사용자 제스처로 피싱에 본질적으로 강한 강력한 인증을 제공하여 훨씬 우수한 대안을 제시합니다.
  • 패스키를 이용한 기본 로그인: 기본 로그인에 패스키를 채택하면 피싱 저항성으로 인해 즉시 보안이 강화됩니다. 패스키의 암호학적 특성은 기존 자격증명을 괴롭히는 가장 일반적인 공격 벡터를 완화합니다.
  • 위험 기반 스텝업 - 기기 신호에 대한 신중한 고려: 고위험 작업(예: 거액 이체, 연락처 정보 변경)의 경우, FI는 스텝업 인증을 고려할 수 있습니다. 패스키와 관련된 기기 귀속 신호가 옵션이긴 하지만, 그 필요성은 신중하게 평가되어야 합니다. 기본 패스키 인증 자체의 피싱 저항성이 많은 위험을 크게 완화하기 때문입니다.
  • 결과 기반 보안 및 사기 감소: 패스키로 달성되는 피싱 위험의 상당한 감소는 중요한 요소입니다. 인증 방법의 강도와 피싱 저항성에 초점을 맞춘 결과 기반 보안 접근 방식은 상당한 사기 감소로 이어질 수 있습니다. 패스키와 같은 피싱 저항성 요소의 가중치는 피싱에 취약한 다른 요소를 추가하는 것보다 훨씬 높습니다. 이는 FI가 기존 방법에서 마이그레이션할 때 전략의 중심이 되어야 합니다.
  • 온보딩/신원 증명을 위한 VC: 다른 시나리오와 마찬가지로, VC는 견고한 초기 KYC/AML 및 검증된 정보를 사용하여 고객 신원 속성을 안전하게 업데이트하여 은행 관계의 신뢰할 수 있는 기반을 구축하는 데 필수적입니다.
• 상호작용: 패스키는 강력하고 피싱에 강한 기본 인증 방법으로 기능하여 기존 시스템의 사기 위험을 대폭 줄입니다. 스텝업을 위한 기기 신호는 전술적 옵션입니다. 패스키의 고유한 강점은 위험 기반 보안 태세를 형성하는 데 정보를 제공해야 하며, 잠재적으로 추가적인, 덜 피싱에 강한 요소에 대한 과도한 의존을 줄일 수 있습니다. VC는 기본적인 신원 보증을 제공합니다.

• 목표: 특정 신뢰 당사자(공공 기관, 규제 부문의 대규모 민간 기업, VLOP)가 EU 디지털 신원 지갑을 수락하도록 요구하는 eIDAS 2 규정(Art 5f)을 준수하여, 법적으로 요구될 때 개인정보를 보호하는 익명 로그인과 고신뢰 신원/속성 확인을 모두 가능하게 하는 것.
• 예상 흐름:
  • 익명 로그인 (기본): 사용자가 로그인을 시작합니다. RP는 EUDI Wallet을 통해 인증을 요청합니다. 지갑은 내장된 "익명 키" – 기기의 인증된 보안 요소(WSCD)에 저장된 하드웨어 귀속, RP 범위의 WebAuthn 상주 키 – 를 사용하여 사용자를 인증합니다. 이는 사용자의 시민 신원을 기본적으로 익명으로 유지하면서 강력한 SCA 준수 인증(소유 + 사용자 확인)을 제공합니다.
  • 신원/속성을 위한 스텝업 (법적 요구 시): RP가 연합 또는 국내법(예: PSD2, AML, 통신 등록)에 따라 신원 확인 또는 특정 속성을 요구할 특정 법적 근거가 있는 경우에만 두 번째 단계를 시작합니다. RP는 지갑에서 필요한 개인 식별 데이터(PID) 또는 적격 속성 증명(QAA)의 제시(OpenID4VP를 통해)를 요청합니다. 사용자는 이 식별된 데이터를 공유하는 데 명시적으로 동의해야 합니다.
  • 지갑 및 RP 인증: 이 흐름은 상호 인증을 포함합니다. RP는 자신의 공식 등록을 기반으로 지갑에 자신을 인증하고, 지갑은 보안 하드웨어(WSCD)와 관련 인증 인프라를 활용하여 RP에게 자신의 진위성과 자격증명의 유효성을 증명합니다.
• 상호작용: EUDI Wallet은 통합 인증자 역할을 합니다. 내장된 WebAuthn 패스키(익명 키)는 표준 로그인을 처리하여 강력하고 개인정보를 보호하는 인증을 제공합니다. 지갑의 VC 기능은 명시적이고 법적으로 의무화된 신원 또는 속성 공개를 위해 선택적으로 호출되어 기본적으로 데이터 최소화를 보장합니다.

이 진화하는 환경을 탐색하려면 전략적 계획이 필요합니다. 신뢰 당사자(RP)를 위한 주요 고려사항은 다음과 같습니다.

RP에게 오늘날 주요 조치는 인증을 위해 패스키 사용을 활성화하고 장려하는 것이어야 합니다. 패스키는 표준화되어 있고 플랫폼에서 널리 지원되며, 보안(피싱 저항성)과 사용자 경험(더 빠르고 쉬운 로그인)에서 즉각적이고 큰 이점을 제공합니다. 이는 비밀번호와 SMS OTP와 같은 불안전한 MFA 방법에 대한 의존도를 줄이는 것을 의미합니다. 또한 비밀번호 재설정 및 계정 복구로 인한 지원 비용을 낮출 수 있습니다. 광범위한 패스키 사용을 목표로 하면 사용자 인증을 위한 현대적이고 안전한 기반을 마련할 수 있습니다. 처음에는 채택이 느릴 수 있지만, 사전에 사용자에게 이점을 교육하고 가입을 쉽게 만들면 시작하는 데 도움이 될 수 있습니다.

패스키 자체는 강력한 인증을 향한 중요한 단계이며 Strong Customer Authentication(SCA) 요구사항을 충족할 수 있지만, 일부 조직은 특히 동기화된 패스키와 관련하여 더 엄격한 해석이나 특정 우려가 있는 내부 규정 준수 프레임워크를 가질 수 있습니다. 규정 준수 부서가 추가적인 보증을 요구하는 이러한 시나리오에 직면한 신뢰 당사자(RP)에게는 패스키 배포를 보완할 수 있는 추가 조치가 있다는 것을 아는 것이 유용합니다. 이는 인지된 SCA 격차를 해소하거나 강화된 내부 요구사항을 충족하는 데 도움이 될 수 있습니다. 일반적인 전략 중 하나는 PayPal과 같은 서비스에서 사용하는 접근 방식인 기기 신뢰 신호를 활용하는 것입니다.

예를 들어, PayPal은 도움말 페이지에 설명된 대로 사용자가 기기를 "기억된 기기"로 표시할 수 있도록 허용합니다:

이는 사용자가 기억된 기기(소유한 것)에서 비밀번호(알고 있는 것)로 로그인하면 PayPal이 많은 경우 이를 SCA에 충분하다고 간주할 수 있음을 의미합니다. 그러나 그들은 또한 "계정 보안을 위해 추가 인증을 요청하는 경우가 있을 수 있습니다."라고 명시합니다. 이는 SMS를 통해 일회용 비밀번호를 보내거나 PayPal 앱을 통해 확인을 요청하는 것을 포함할 수 있습니다.

이 접근 방식은 신뢰할 수 있는 기기에서 더 원활한 사용자 경험을 제공하면서도 위험이 높거나 규정이 요구할 때 스텝업 인증을 위한 메커니즘을 계속 제공할 수 있게 합니다. RP는 기본 인증(패스키 등)과 기기 신뢰(필요한 경우 WebAuthn의 직접적인 메커니즘 외부에서 관리될 수 있음)의 조합이 SCA 규정 준수 격차를 해소하는 데 도움이 될 수 있는 유사한 모델을 고려할 수 있습니다. 그러나 WebAuthn 프레임워크 자체 내에서 기기별 신뢰 신호에 대한 보다 통합되고 표준화된 접근 방식을 위해서는 해당 분야의 지속적인 발전에 주목해야 합니다.

더 강력한 기기 신뢰를 위한 WebAuthn 통합 접근 방식과 관련하여, 고보안 환경의 RP는 역사와 미래 방향을 이해해야 합니다. devicePubKey 및 supplementalPubKeys와 같은 과거 WebAuthn 확장 제안은 이러한 기기별 신뢰 신호를 제공하는 것을 목표로 했습니다. 이는 대중 채택에 중요한 사용성을 제공하지만 기기 귀속 키에 비해 다른 위험 프로필(예: 클라우드 계정 복구에 대한 의존성)을 도입하는 동기화된 패스키의 보안 고려 사항을 해결하려는 시도였습니다. 이러한 확장의 이면에 있는 아이디어는 RP가 사용 중인 물리적 장치에 특별히 귀속된 키의 서명을 확인하여 추가적인 보증 계층을 얻을 수 있도록 하는 것이었습니다. 주 패스키 자체가 동기화된 경우에도 말이죠.

이러한 특정 확장(devicePubKey 및 supplementalPubKeys)은 중단되었지만, 동기화된 패스키에 대한 더 강력한 기기 귀속 신호를 얻는 과제는 여전히 남아 있습니다. 따라서 RP는 이 분야에서 _후속 솔루션_의 개발 및 표준화를 모니터링해야 합니다. 이러한 솔루션은 RP가 모든 사용자에게 덜 편리한 기기 귀속 패스키를 강요하지 않고도 위험을 더 잘 판단하는 데(예: 알려진 신뢰할 수 있는 장치에서의 로그인과 새로 동기화된 장치에서의 로그인을 구별) 도움이 될 수 있습니다. 이 맥락은 RP에게 "동기화 vs. 기기 귀속"보다 더 복잡한 선택을 제시합니다. 동기화된 패스키(보통 AAL2 준수)는 가장 편리하고 채택 가능성이 높아 소비자 앱에 필수적입니다. 기기 귀속 패스키(아마도 AAL3)는 최고의 보증을 제공하지만 사용하기 더 어려울 수 있습니다. 중단된 확장의 목표는 중간 지점을 찾는 것이었습니다. 즉, 기기별 신뢰 신호를 다시 추가하여 동기화된 키의 보안을 개선하는 것이었습니다. 이는 클라우드 동기화가 손상될 경우 일부 위험을 줄이는 데 도움이 될 수 있으며, 동기화의 모든 편의성을 잃지 않으면서 가능합니다. 따라서 RP는 이를 목표로 하는 _후속 솔루션_을 찾아야 합니다. 최상의 전략은 RP의 특정 위험 허용 범위, 사용자 기반 및 새로운 표준의 성숙도에 따라 달라질 것입니다.

기기 신뢰를 위한 WebAuthn 내의 특정 메커니즘을 넘어서, 일부 신뢰 당사자(RP)—특히 은행, 보험, 결제 서비스와 같은 부문—는 디지털 자격증명(Verifiable Credentials, 또는 VC)을 신원 및 보안 전략의 보완적이거나 심지어 다음 단계의 구성 요소로 평가하기 시작했습니다.

이러한 관심을 이끄는 중요한 요인은 디지털 자격증명과 종종 연관되는 강력한 기기 귀속입니다. 특히 보안 디지털 신원 지갑 내에서 관리될 때 그렇습니다. 이러한 지갑은 하드웨어 지원 보안(Secure Enclave 또는 TPM 등)을 활용하여 자격증명과 이를 제시하는 데 사용되는 개인 키를 보호할 수 있습니다. 발급자와 지갑 제공업체는 또한 특정 고가치 자격증명을 본질적으로 기기 귀속으로 만드는 정책을 시행할 수 있어, 고신뢰 시나리오에 매력적인 수준의 제어를 제공합니다.

이러한 향상된 기기 귀속 기능이 이들 RP에게 매력적인 기능이기는 하지만, 디지털 자격증명의 주요 목적(속성 및 클레임 증명)은 패스키(사용자 인증)의 목적과 구별된다는 점을 인식하는 것이 중요합니다. 패스키는 사용자가 누구인지 확인하는 반면, 디지털 자격증명은 사용자에 대해 무엇이 사실인지 확인합니다. 목적의 이러한 근본적인 차이에도 불구하고, 지갑에 보관된 VC의 강력한 보안 특성은 추가적인 보증 계층을 쌓으려는 RP에게 적극적인 고려 대상이 됩니다. 이는 자연스럽게 이러한 디지털 신원 지갑의 제공업체와 그러한 자격증명의 발급, 저장 및 제시를 가능하게 하는 생태계에 대한 논의로 이어집니다.

패스키가 직접적인 인증을 제공하는 반면, 디지털 자격증명(VC)은 디지털 신원 지갑을 통해 관리되고 신뢰 당사자에게 제시됩니다. 이러한 지갑은 네이티브 플랫폼 솔루션(Apple Wallet, Google Wallet 등)이든 제3자 애플리케이션(EUDI Wallet 등)이든, Digital Credentials API와 같은 새로운 브라우저 표준을 사용하여 더 원활한 온라인 신원 확인(예: 연령 확인, 디지털 ID 속성 공유)을 위해 진화하고 있습니다.

다양한 지갑 유형의 세부 메커니즘, VC 통합을 위한 특정 플랫폼 전략(브라우저 상호작용을 위한 Apple의 mDoc 집중 대 Android의 Credential Manager를 통한 광범위한 OpenID4VP 지원), 이러한 지갑이 속성 증명을 용이하게 하는 방법, 그리고 결제 기능에 대한 완전히 별개의 고려사항은 복잡한 주제입니다. 이는 곧 나올 보완 기사인 '디지털 자격증명과 결제'에서 심도 있게 다룹니다.

이 현재 기사는 인증을 위한 패스키와 속성 증명을 위한 디지털 자격증명의 일반적인 역할 사이의 기본적인 상호작용에 초점을 맞춥니다.

패스키와 디지털 자격증명은 주요 목적은 다르지만, 현대적이고 더 안전하며 사용자 중심적인 디지털 신원 미래의 두 기둥을 대표합니다. 이들이 어떻게 관련되고 서로를 지원할 수 있는지 이해하는 것은 차세대 온라인 서비스를 구축하는 데 핵심입니다.

이러한 기술의 현재 상태와 궤적을 바탕으로, 신뢰 당사자를 위한 두 가지 주요 조치가 두드러집니다:

• 오늘 당장 모든 곳에 패스키를 배포하세요: 표준은 성숙했고, 플랫폼 지원은 광범위하며, 비밀번호에 비해 이점은 명확하고 상당합니다. 보안과 사용성을 즉시 향상시키기 위해 패스키를 사용자 인증의 기본 목표로 삼으세요.
• AML/KYC가 중요한 곳에 지갑 스텝업을 추가하세요: 자금세탁방지(AML) / 고객알기제도(KYC) 규정 충족, 신뢰할 수 있는 연령 확인 수행, 또는 전문 자격 확인과 같이 더 높은 보증이나 특정 검증된 속성이 필요한 프로세스의 경우, Verifiable Credential 제시 흐름을 통합하여 암호학적으로 검증 가능한 속성을 얻으세요. 이는 정교한 디지털 위조 및 딥페이크 시대에 신원과 주장을 신뢰하는 데 필수적입니다. 가능한 경우 Digital Credentials API를 사용하되, API가 안정화될 때까지 플랫폼 간 도달 범위를 보장하기 위해 견고한 QR/딥 링크 대체 방안을 구현하세요. 이는 모든 로그인에 부담을 주지 않으면서 목표에 맞는 높은 보증을 제공합니다.

앞으로 더 많은 융합과 개선을 기대할 수 있습니다:

• 향상된 자격증명 이식성: 기기 간 전송 방법이 개선될 가능성이 높습니다. 이는 패스키를 위한 CTAP 2.2 기기 간 인증을 넘어, 지갑 간에 VC를 더 원활하게 이동하는 방법을 포함할 수 있지만, 이 분야의 표준화는 아직 멀었습니다.
• 통합 브라우저 API: Digital Credentials API는 아마도 성숙해지고 브라우저 전반에서 더 일관되게 지원될 것입니다. 이는 RP에게 navigator.credentials를 통해 패스키와 VC를 모두 요청하는 더 표준적인 방법을 제공할 것입니다.
• 통합된 사용자 경험: 궁극적으로 사용자는 패스키로 인증하는 것과 VC로 속성을 제시하는 것 사이의 기술적 차이를 덜 보게 될 것입니다. 플랫폼 자격증명 관리자와 지갑은 아마도 이러한 상호작용을 배후에서 원활하게 관리할 것입니다. 그들은 공유된 암호화 도구와 보안 하드웨어를 사용하여 사용자가 패스키든 VC든 상관없이 익숙한 생체 인식 또는 PIN 프롬프트로 요청을 간단히 승인할 수 있도록 할 것입니다. 또한, 행동 생체 인식 및 기타 신호를 사용하여 백그라운드에서 사용자를 지속적으로 확인하는 지속적 수동 인증(CPA)과 같은 개념은 패스키와 같은 능동적 인증자와 함께 작동하여 이러한 원활한 보안을 더욱 강화할 수 있습니다.

이러한 통합된 미래에 도달하려면 표준, 플랫폼 지원 방식, 앱 사용 방식에 대한 더 많은 작업이 필요할 것입니다. 지금 패스키를 사용하고 신중하게 디지털 자격증명을 추가함으로써, 조직은 비밀번호가 없고 사용자에게 데이터에 대한 더 많은 제어권을 부여하는 디지털 세계로의 전환에 대비할 수 있습니다.