Phishing-resistant Authentication 피싱 저항 인증

피싱 저항 인증은 사용자가 가짜 로그인 화면에 속더라도 공격자가 그 인증 결과를 진짜 서비스에서 재사용하기 어렵도록 설계한 인증 방식입니다.

핵심은 인증을 올바른 서비스나 보호된 통신 연결에 암호학적으로 묶는 것입니다. 사용자의 주의력이나 화면 구별 능력만으로 피싱을 막는 방식과 다릅니다. 미국 국립표준기술연구소 지침은 검증자 이름 결합과 통신 채널 결합을 설명하며 단일 요소와 다중 요소 암호학적 인증 모두에서 피싱 저항성을 다룹니다.

정상 사이트에서 등록한 공개키 인증 수단이 가짜 사이트에서는 정상 사이트용 인증 응답을 만들지 않는 상황입니다. 반면 문자나 인증 앱의 숫자를 가짜 화면에 직접 입력하면 공격자가 이를 중계할 수 있으므로 숫자를 한 번 더 묻는다는 이유만으로 같은 보호가 성립하지 않습니다.

다중 요소 인증과의 차이

다중 요소 인증은 서로 다른 인증 요소를 사용하는지를 구분합니다. 피싱 저항 인증은 인증 결과가 다른 검증자에게 넘어가 악용되는 것을 어떻게 막는지 구분합니다. 두 속성은 같은 뜻이 아닙니다.

패스키와의 관계

패스키는 공개키 인증을 이용하는 대표적 수단입니다. 장치 잠금, 동기화와 계정 복구 조건까지 살펴야 하며 패스키라는 이름만으로 모든 보증 수준을 충족한다고 판단하지 않습니다.

피싱에 견디는 계정 인증 수단을 비교할 때 사용합니다. 실제 적용 여부는 인증 프로토콜, 검증자 결합, 등록과 복구 경로를 함께 확인해야 합니다.

악성 프로그램, 로그인 후 세션 탈취와 잘못 부여한 접근 권한까지 모두 해결하지 않습니다. 일회용 비밀번호와 비밀번호 없는 인증도 구현 조건을 따로 확인해야 합니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

NIST: Digital Identity Guidelines: Authenticators

함께 이해할 용어: MFA 다중 요소 인증, Passkey 패스키, FIDO2 FIDO2 인증 체계, WebAuthn 웹 공개키 인증 API, Authentication 인증, Authorization 권한 부여