패스키는 왜 가짜 사이트에 강할까? 등록과 로그인 흐름 정리(qiita.com)

- 패스키는 비밀번호 대신 휴대폰이나 PC 같은 기기에 저장된 열쇠로 본인을 확인하는 로그인 방식이다. 원문은 브라우저가 사이트 주소를 기계적으로 비교해 맞지 않으면 열쇠를 후보에도 띄우지 않아 가짜 사이트에서는 로그인되지 않는다고 설명한다. - 서버에는 공개키만 저장되고 비밀키는 기기 밖으로 나가지 않는다. 지문이나 얼굴 정보도 서버로 보내지 않고 기기 안에서 확인된다고 원문은 강조한다. - 원문은 FIDO Alliance가 2025년 10월 공개한 Passkey Index를 인용해, 9개 회사의 조사에서 로그인 성공률이 패스키 93%, 다른 방식 63%이고 1회 로그인 시간이 8.5초 대 31.2초라고 전한다. 이 값은 참여 회사가 응답한 수치를 FIDO Alliance와 조사회사 Liminal이 모은 것이다. - 패스키의 약점은 계정 복구 절차다. 공격자가 복구 경로를 악용하면 패스키의 강점이 줄어들 수 있어, 패스키를 두 개 이상 등록하고 복구 시 본인에게 알림을 보내는 대책이 원문에 소개된다.