계정 탈취율 99.9% 감소를 실현한 Passkeys 기반 Passwordless Auth 설계

Context

Shared Secret 방식의 Password 구조로 인한 서버 측 유출 위험 및 Phishing 공격에 취약한 2FA 한계점 노출. 인증 정보의 중앙 집중식 저장 구조가 공격 표면(Attack Surface)을 확장하는 근본적 결함으로 작용.

Technical Solution

• WebAuthn 및 FIDO2 표준 기반의 Public-key Cryptography를 도입한 인증 체계 전환
• Private Key를 Secure Enclave 등 하드웨어 보안 영역에 격리하여 서버 전송을 원천 차단한 구조 설계
• ES256 알고리즘 기반의 Challenge-Response 메커니즘을 통한 서버 사이드 서명 검증 로직 구현
• Domain-bound 속성을 통해 Origin ID를 검증함으로써 Phishing 사이트에서의 인증 시도를 기술적으로 차단
• SimpleWebAuthn 라이브러리를 활용한 CBOR 디코딩 및 복잡한 암호화 검증 과정의 추상화
• Password Fallback을 유지한 3단계 점진적 마이그레이션 전략(Opt-in $\rightarrow$ Flip Default $\rightarrow$ Require) 적용

Impact

• Google 보고 기준 Password 대비 계정 탈취율 99.9% 감소
• 전 세계 브라우저 지원 범위 약 95% 달성
• 동일 기기 내 Passkey 완료율 79-98% 기록

Key Takeaway

인증 시스템의 보안성은 비밀번호의 복잡도가 아닌 '비밀 정보의 비공유(Non-sharing of secrets)'라는 아키텍처적 구조 변경을 통해 달성 가능함.