앱 갈아타도 지문·얼굴 인증 그대로…구글, '패스키 이사' 길 열었다[모닝폰]

[이데일리 한광범 기자] 구글이 스마트폰에 저장된 로그인 정보를 다른 보안 앱으로 손쉽게 옮길 수 있는 시스템을 도입했다.

구글은 10일 공식 블로그를 통해 안드로이드 운영체제(OS)에서 파일 다운로드 없이 클릭 몇 번만으로 비밀번호와 패스키를 비밀번호 관리자(Password Manager) 앱 간에 안전하게 이동할 수 있는 신규 이관 기능을 발표했다.

구글은 이번 기능에 대해 이용자가 자신에게 가장 잘 맞는 보안 도구를 자유롭게 선택하고 디지털 라이프를 직접 제어할 수 있도록 돕기 위한 취지라고 설명했다.

이번 기능 도입의 배경에는 기존 인증 정보 이전 방식이 지닌 구조적 한계와 보안 노출 위험이 자리 잡고 있다. 스마트폰 사용자들은 수십 개 사이트의 비밀번호를 저장해 자동으로 채워주는 ‘비밀번호 관리자’ 앱이나, 지문·얼굴 인식으로 로그인하는 차세대 인증 기술인 ‘패스키’를 주로 활용한다.

그러나 기존에는 사용 중인 비밀번호 관리 앱을 변경하려면 암호화되지 않은 텍스트 파일(CSV 등) 형태로 기기에 내보낸 뒤 새 앱으로 불러와야 했다. 이 과정에서 파일이 기기에 남게 되면 외부 유출 시 모든 비밀번호가 노출되는 치명적인 보안 허점이 존재했다. 더욱이 높은 보안성을 지닌 패스키는 구조상 파일 형태로 내보내는 것 자체가 불가능해, 서비스 교체 시 이용자가 각 웹사이트나 앱에 일일이 접속해 패스키를 전부 다시 발급받아야 하는 번거로움이 있었다.

구글이 새롭게 선보인 전송 시스템은 중간 파일 생성 절차를 없애고 안드로이드 OS가 기기 내부에서 애플리케이션 간 데이터 전달을 직접 중계하고 통제하도록 설계됐다.

전체 이관 절차는 3단계로 진행된다. 이용자가 새로 사용할 비밀번호 관리자 앱을 실행해 타 서비스로부터 데이터를 가져오는 옵션을 선택하면 작업 주권이 안드로이드 OS로 이관된다. 이어 안드로이드 OS가 기기에 설치된 기존 비밀번호 관리자 앱을 자동 인식해 이관 대상 목록을 화면에 제시한다. 이용자가 ‘계속(Continue)’을 터치해 기존 앱으로 이동한 뒤 전송 데이터를 확인하고 승인하면 몇 초 만에 앱 간 보안 데이터 이동이 완료된다.

이 같은 보안 이관 방식은 데이터 가져오기(Import)와 내보내기(Export) 모두에 동일하게 적용되어 사용자의 플랫폼 및 서비스 선택권을 대폭 높였다.

현재 해당 기능은 구글 비밀번호 관리자(Google Password Manager)를 비롯해 1패스워드(1Password), 비트워든(Bitwarden), 대시레인(Dashlane) 등 주요 암호 관리 서비스에 우선 적용됐다. 구글은 향후 해당 표준을 지원하는 제휴 파트너사를 지속해서 확대해 나갈 계획이다.