비밀번호 없는 인증(Passkeys)과 IdP: 2025년 기업이 준비해야 할 변화
패스키가 비밀번호 기반 인증을 어떻게 대체하는지, IdP가 그 전환에서 어떤 역할을 하는지 정리합니다. MFA와의 관계, 도입 시 검토 사항, B2B SaaS 운영자 관점의 전략까지 다룹니다.
비밀번호는 수십 년 동안 인증의 기본이었지만, 이제는 보안 취약점의 핵심 원천으로 꼽힙니다. 피싱, 재사용, 유출 — 비밀번호가 초래하는 문제는 IT 담당자에게 익숙한 일상입니다. 2025년, 이 변화에 대한 실질적인 대안으로 패스키(Passkeys)가 본격적으로 기업 환경에 진입하고 있습니다.
이 글은 패스키가 무엇이고, IdP(Identity Provider)가 이 전환에서 어떤 역할을 하는지 정리합니다.
패스키란 무엇인가
패스키는 FIDO Alliance가 표준화한 FIDO2/WebAuthn 기반 인증 방식입니다. 공개키 암호학을 사용하며, 비밀번호 없이 기기(생체 인식, PIN, 패턴)만으로 인증을 완료합니다.
핵심 특징을 정리하면 다음과 같습니다.
• 서버에 비밀번호 대신 공개키만 저장되어 유출되어도 위험 없음 • 피싱 사이트에서 작동하지 않음 (도메인 바인딩) • 기기에 저장되는 개인키는 사용자만 접근 가능 • Apple, Google, Microsoft 주요 플랫폼이 모두 지원
비밀번호 없는 인증이 중요한 이유
기업 환경에서 비밀번호가 초래하는 비용은 생각보다 큽니다. Gartner에 따르면 기업의 지원 센터 티켓 중 20~50%가 비밀번호 리셋 관련입니다. 또한 Verizon DBIR에 따르면 침해 사건의 80% 이상이 비밀번호 관련 공격(피싱, 크리덴셜 스터핑, 무차별 대입)과 관련이 있습니다.
SSO란이 비밀번호를 "한 곳으로 모으는" 접근이라면, 패스키는 비밀번호 자체를 "없애는" 접근입니다. 두 방식은 상호 배타적이지 않고, 보통 SSO + IdP → IdP에서 패스키 인증을 지원하는 구조로 진행됩니다.
IdP에서 패스키가 작동하는 방식
IdP가 패스키를 지원한다는 것은 다음을 의미합니다.
- 사용자가 IdP에 패스키를 등록합니다 (공개키가 IdP 서버에 저장됨)
- 로그인 시 IdP가 WebAuthn 챌린지를 발행합니다
- 사용자의 기기에서 개인키로 서명하여 응답합니다
- IdP가 서명을 검증하고 세션을 발급합니다
이 구조에서 IdP가 패스키 인증의 인증 기관이 됩니다. SAML, OIDC 연동을 통해 하위 서비스 앱은 IdP의 인증 결과만 받기 때문에, 각 앱이 개별적으로 패스키를 구현할 필요가 없습니다.
기존 MFA와의 관계
TOPT 기반 MFA는 비밀번호에 추가되는 "두 번째 요소"입니다. 반면 패스키는 비밀번호 자체를 대체하는 "단일 요소"이면서도 기기 소유 + 생체/PIN이라는 본질적으로 다요소인 방식입니다.
따라서 패스키 도입 시 기존 MFA와의 관계를 명확히 해야 합니다.
• 패스키만 사용: 가장 간단한 구성, 비밀번호 완전 제거 • 패스키 + MFA 보강: 규제 요구가 엄격한 환경에서 추가 보안 계층 • 단계적 전환: 비밀번호 → 비밀번호 + 패스키 → 패스키만 (점진적 마이그레이션)
IdP 단에서 이 정책을 유연하게 설정할 수 있어야 합니다. 특정 그룹에만 패스키를 강제하거나, 특정 앱 접근 시에만 요구하는 등 정책 기반 제어가 중요합니다.
B2B SaaS 운영자가 고려할 점
SaaS 제공업체 관점에서 패스키 지원은 고객의 보안 요구에 대응하는 중요한 요소가 되고 있습니다. 엔터프라이즈 고객의 보안 심사에서 "비밀번호 없는 인증 지원 여부" 항목이 점점 자주 등장합니다.
어떻게 대응하면 되나
B2B SaaS가 자체적으로 패스키 구현을 할 필요는 없습니다. IdP가 패스키를 지원하면, SAML/OIDC SSO 연동을 통해 하위 서비스 앱은 자동으로 패스키 인증의 혜택을 받습니다.
멀티 디바이스 동기화
기업 환경에서 한 명의 사용자가 여러 기기를 사용하는 것은 일상입니다. 패스키가 한 기기에만 저장되어 있으면 기기 분실 시 접근이 불가능해집니다. 클라우드 동기화 기능을 지원하는지 확인해야 합니다. Apple iCloud Keychain, Google Password Manager, Windows Hello 등의 동기화 메커니즘이 주로 사용됩니다.
백업과 복구
비밀번호가 없어진 환경에서 계정 복구는 새로운 과제입니다. 패스키를 잃어버린 사용자를 위한 복구 경로(백업 코드, 관리자 승인, 보조 패스키 등)를 IdP 레벨에서 설계해야 합니다.
도입 체크리스트
패스키를 IdP에 도입하기 전 점검할 항목입니다.
• IdP가 WebAuthn/FIDO2 등록 및 인증을 지원하는가 • 비밀번호와 패스키를 병행 사용할 수 있는 마이그레이션 경로가 있는가 • 그룹/정책별로 패스키 강제 설정이 가능한가 • 클라우드 동기화 패스키를 지원하는가 (엔터프라이즈 환경 필수) • 패스키 분실 시 복구 프로세스가 정의되어 있는가 • SAML/OIDC 연동 시 하위 앱에 영향 없이 IdP에서만 처리되는가 • SCIM 프로비저닝과 연동 시 패스키 상태가 어떻게 관리되는가
비밀번호 없는 미래, IdP에서 시작한다
패스키 도입은 비밀번호라는 수십 년의 관행을 바꾸는 변화이지만, 모든 앱을 한 번에 바꿀 필요는 없습니다. IdP가 중앙에서 패스키를 지원하면, 연동된 모든 서비스에 자동으로 적용됩니다. SSO가 비밀번호를 한 곳으로 모았다면, 패스키는 그 비밀번호마저 제거합니다.
AxiPass는 OIDC/SAML SSO, MFA 정책, SCIM 프로비저닝을 통합 제공하는 B2B SaaS 전용 IdP입니다. 비밀번호 없는 인증의 미래를 IdP에서 준비하고 싶다면 무료로 시작에서 확인해 보세요.