Entra 패스키 완전 정복: 초보자를 위한 심층 가이드
A Beginner's Deep Dive Guide to Entra Passkeys
Microsoft Entra가 Device Bound 및 Synced 패스키를 모두 GA로 지원하면서, 패스키는 이제 피싱 저항 인증의 핵심으로 자리 잡았습니다. 이 가이드는 WebAuthn 프로토콜의 동작 원리부터 Entra에서 패스키 프로필 설정, 인증 강도 및 조건부 액세스 정책 설계까지 전 과정을 단계별로 다룹니다. 또한 FIDO2 키와 같은 디바이스 바운드 패스키와 Apple Keychain, 1Password 등 클라우드 동기화 패스키의 차이점을 설명하고, 2026년 3월 중순 출시 예정인 Windows의 Entra 패스키 지원과 같은 향후 업데이트도 소개합니다.
패스키는 피싱에 강합니다. 공격자는 더 이상 사용자를 가짜 웹사이트에 로그인하도록 속일 수 없습니다. 패스키는 합법적인 서비스 제공자의 도메인에 바인딩되어 있기 때문입니다.
HN 토론
26- rf15
제 경험상, 대부분의 기본적인 서비스에서 패스키는 완전히 과한 기술입니다. 너무 많은 번거로움 없이 계정을 복구할 수 있는 능력이 보통 물리적 하드웨어(게다가 공공장소에서 들고 다니는 휴대폰)에 명시적으로 묶인 키를 갖는 것보다 낫습니다. 게다가 패스키는 종종 Microsoft 같은 회사들이 자사 앱을 홍보하는 데 사용되기도 합니다. 물론 이를 위해 특정 앱을 설치해야 하니까요. 이 모든 것이 패스키가 대체로 공급업체 종속과 개인정보 수집을 위한 편리한 보안 핑계라고 느끼게 합니다. OTP 생성기는 더 일반적으로 적용 가능하고 휴대폰이나 회사에 덜 묶여 있는 것 같습니다.
- throw7
"소유한 것"/"기기 바인딩"은 내가 통제할 수 없다면 원하지 않는 것입니다. 패스키의 경우, 개인 키에 접근할 수 없으므로, 그것은 나에 의해 통제될 수 없다고 생각합니다. 만약 내가 개인 키를 추출하고 가져올 수 있다면 (지금 TOTP로 하는 것처럼) 기꺼이 틀렸다고 인정하겠지만, 패스키 설계자들은 사용자들이 자신의 개인 키에 접근하는 것을 명시적으로 원하지 않아서 물리적 객체에 묶어두려 한다고 이해합니다. 그 의도는 이해하지만, 나는 그것을 원하지 않습니다. 그래서 패스키는 내가 절대 사용하지 않을 것이며, 나에게 유용하거나 편리하지도 않습니다.
- VCFundedGenYer
패스키는 이론적으로는 좋은 아이디어지만, 실제로는 혼란스러운 난장판입니다. 일반 사용자들은 패스키에 대해 극도로 혼란스러워합니다. 제 권장 사항은 여전히 매우 강력한 비밀번호와 앱 기반 MFA를 사용하는 것입니다.