생체 인식 없는 패스키? 작동하나요?

네, 패스키는 PIN, 패턴 또는 기기 비밀번호와 같은 로컬 authenticator를 사용하여 생체 인식 없이도 작동할 수 있습니다. 이러한 방법은 지문이나 얼굴 인식과 같은 생체 인식 옵션을 사용할 수 없을 때 안전한 인증을 제공합니다. 패스키는 사용자가 설정하고 relying party가 제어하지 않는 기기의 로컬 authenticator에 의존합니다.

---

패스키는 passwordless authentication의 표준인 WebAuthn을 기반으로 합니다. 일반적으로 패스키는 user verification을 위해 로컬 authenticator를 사용합니다. 지문이나 얼굴 인식과 같은 생체 인식을 사용할 수 없는 경우, 로컬 authenticator가 대체 인증 방법을 제공합니다.

로컬 인증자는 기기에서 사용자의 신원을 확인하는 메커니즘입니다. 예시는 다음과 같습니다(모두 비생체 인식 방식):

• PIN 코드 - 기기 잠금 해제를 위해 입력하는 숫자 코드입니다.
• 패턴 - 터치스크린에 그리는 스와이프 패턴입니다.
• 기기 비밀번호 - 기기 접근에 사용되는 영숫자 비밀번호입니다.
• 화면 잠금 - 기기 접근을 제한하는 기타 모든 메커니즘입니다.

1. 사용자 설정: 사용자가 자신의 기기에서 로컬 인증자를 구성합니다.
2. 패스키 생성: 계정 설정 중에 기기가 암호화 키 쌍을 생성합니다.
   • 개인 키는 기기에 안전하게 저장됩니다.
   • 공개 키는 서비스(relying party)와 공유됩니다.
3. 인증: 사용자가 로그인을 시도할 때:
   • relying party가 기기에 챌린지를 보냅니다.
   • 기기는 개인 키를 사용하여 챌린지에 서명합니다.
   • 로컬 인증자(예: PIN, 패턴)가 서명하기 전에 사용자의 신원을 확인합니다.

• 접근성: 생체 인식 기능이 없는 기기를 사용하는 사용자도 패스키를 사용할 수 있습니다.
• 보안: 로컬 authenticator는 기기에 종속되어 있어 원격으로 가로챌 수 없습니다.
• 사용자 제어: 사용자가 가장 편한 방법을 선택할 수 있어 채택률을 높입니다.

아니요, 개발자와 신뢰 당사자는 사용되는 로컬 인증자의 유형을 직접 제어할 수 없습니다. 이는 사용자의 기기 설정에 따라 결정됩니다. 하지만 개발자는 프로세스를 명확하게 설명하고, 로컬 인증자가 아직 구성되지 않은 경우 사용자가 설정하도록 안내하는 사용자 플로우를 설계할 수 있습니다.

생체 인식 없는 패스키는 포용성과 유연성을 제공합니다. 모든 사용자가 최신 생체 인식 기술을 사용할 수 있는 것은 아니지만, PIN이나 패턴과 같은 대안을 통해 passwordless authentication의 보안과 편리함을 누릴 수 있습니다.

---