If you do one thing on this entire site, do this one. Every other measure here reduces risk at the margin; this one removes an entire category of attack, and it is the category that actually happens to people doing this work. It costs less than a pair of shoes and takes an afternoon.
01Why a code can be stolen and a key cannot
You have seen the attack even if it has not worked on you. An email or message says there is a problem with your account. The link goes to a page that is a pixel-perfect copy of the real login. You enter your password. It asks for your authenticator code. You enter that too.
Behind the scenes, the attacker's server is logging into the real site at the same moment, relaying everything you type, in real time. Your code was genuine. It was valid for thirty seconds. You just typed it into the wrong window, and thirty seconds is plenty.
An app generates a number from a shared secret and a clock. It has no idea what site you are looking at, so it cannot tell a real login page from a copy. The code is not the weakness, the human eye is. Any defence that depends on you spotting a fake domain will eventually fail, because the fakes are very good and you will be tired.
A security key works differently. When you register it with a site, it stores a secret tied to that site's real domain. At login the site sends a challenge; the key signs it, but only after checking that the domain asking matches the domain it registered with. A lookalike domain asks, and the key simply does not answer. There is nothing to relay, nothing to type, and nothing for you to get wrong.
Google moved its entire workforce — tens of thousands of people, to security keys and reported zero successful phishing takeovers of employee accounts afterwards. That is the strongest evidence in consumer security for any single measure, and it is why this guide is first rather than fifth.
02What is on the key
A YubiKey 5 is not one thing. It is several independent security devices in the same piece of plastic, and most people use one of them and never know the rest are there. Here is all of it, in plain terms.
| 기능 | 사용할까요? | 무엇에 쓰이는가 |
|---|---|---|
| FIDO2 / WebAuthn | 예, 바로 이것입니다 | 현대적인 표준입니다. 피싱이 불가능한 로그인이며, 패스키의 기반입니다. Google, Microsoft, GitHub, Cloudflare, Proton 및 대부분의 중요한 곳에서 사용하게 될 것입니다. |
| 패스키(상주 키) | 예 | 같은 것이지만 키가 계정 신원도 저장하므로 사용자 이름이나 비밀번호를 전혀 입력하지 않고도 로그인할 수 있습니다. 저장 공간이 제한적입니다 — 아래 참고 사항을 보세요. |
| U2F | 자동 | 같은 개념의 구버전입니다. 일부 사이트에서 여전히 사용되며, 키가 알아서 처리하므로 선택할 필요가 없습니다. |
| OATH-TOTP | 상황에 따라 | 일반적인 6자리 코드를 휴대폰 앱 대신 키에 저장하며, Yubico Authenticator를 통해 읽습니다. FIDO2를 지원하지 않는 사이트에 유용합니다. 여전히 코드이고 피싱에 취약합니다. 로그인이 아니라 비밀을 보호합니다. |
| 챌린지-응답 (HMAC-SHA1) | 예, KeePassXC와 함께 | 비밀번호 데이터베이스를 열려면 물리 키가 필요하게 만듭니다. KeePassXC 가이드에서 다루며, 이 조합이 두 도구를 모두 상당히 강화합니다. |
| PIV / 스마트 카드 | 고급 | 인증서를 보관합니다. 기기에서 복사할 수 없는 SSH 키와 일부 기업 및 정부 시스템에 사용됩니다. |
| OpenPGP | 고급 | GPG 키를 하드웨어에 보관하여 서명과 복호화가 키에서 이루어지고 개인 키가 컴퓨터에 닿지 않습니다. |
| Yubico OTP | 드물게 | FIDO 이전의 레거시 일회용 비밀번호 방식입니다. 일부 오래된 서비스에서 사용합니다. 요구하지 않는 한 건드리지 마세요. |
| 정적 비밀번호 | No | 키를 터치하면 고정된 문자열을 입력합니다. 다른 시대의 편의 기능입니다. 중요한 일에는 사용하지 마세요. |
사용자 이름 없이 로그인할 수 있게 해주는 상주 키(resident key)는 기기에 영구적인 슬롯을 차지하며, 그 개수는 정해져 있습니다. 구형 YubiKey 5 펌웨어는 약 25개를 저장합니다. 최신 펌웨어는 훨씬 더 많이 저장합니다. 일반적인 FIDO2 2차 인증 등록은 이런 식으로 제한되지 않으므로, 아무것도 채우지 않고 수백 개의 사이트에 키를 추가할 수 있습니다. 한도가 부족해지면 그것은 2FA가 아니라 패스키 때문일 것입니다.
03어떤 것을 사야 할까
결정은 대부분 끝부분의 플러그와 추가 기능을 원하는지에 달려 있습니다. 커넥터를 휴대폰과 컴퓨터에 맞추고, 둘이 다르다면 잃어버릴 어댑터를 들고 다니기보다 각각 하나씩 사세요.
| 모델 | 최적 용도 | 비고 |
|---|---|---|
| Security Key 시리즈 (파란색 제품) | 대부분의 사람 | FIDO2와 U2F만 지원하며, 이것이 바로 필요한 부분입니다. YubiKey 5의 약 절반 가격입니다. PGP, PIV 또는 KeePassXC 페어링을 사용할 계획이 없다면, 이것이 솔직한 추천입니다. |
| YubiKey 5 NFC | USB-A 컴퓨터 + 모든 휴대폰 | 풀기능 키입니다. 휴대폰에 대면 NFC로 작동하고, 노트북에 꽂으면 USB로 작동합니다. 위 표의 모든 것을 원한다면 기본 선택입니다. |
| YubiKey 5C NFC | USB-C 컴퓨터 + 모든 휴대폰 | USB-C 플러그가 있는 동일한 제품. 노트북이 최신이라면 이것이 가장 적합할 가능성이 높습니다. |
| YubiKey 5Ci | Lightning을 사용하는 iPhone | USB-C와 Lightning을 모두 갖추고 있습니다. 구형 iPhone에만 해당되며, 최신 기기는 USB-C이고 어차피 NFC를 사용할 수 있습니다. |
| YubiKey 5 Nano | 노트북에 꽂아 두기 | 작아서 포트에 영구적으로 평평하게 들어갑니다. 편리하지만, 물리적 분리의 이점을 없애줍니다. 노트북을 빼앗기면 키도 함께 빼앗기기 때문입니다. |
| Bio 시리즈 | 공용 공간 | PIN 대신 지문. 정말 좋습니다. 더 비쌉니다. 거주 지역에서 생체 인식이 올바른 잠금 해제 방법인지 신중히 고려하세요. 많은 관할권에서 PIN보다 지문을 더 쉽게 강제로 제공하도록 요구할 수 있기 때문입니다. |
키 하나는 단일 실패 지점입니다. 잃어버리면 자신의 계정에서 영구적으로 잠길 수 있으며, 이는 그 자체로 일종의 재앙입니다. 모든 계정에 두 키를 모두 등록하고, 하나는 휴대하고, 두 번째는 물리적으로 분리된 곳, 집의 서랍, 금고, 신뢰하는 사람에게 보관하세요. 두 번째 키는 백업 계획이며, 복구 비용보다 저렴합니다.
마켓플레이스 목록, 중고품, 잘 모르는 사람에게 받은 선물이 아닙니다. 보안 키는 모든 것을 맡길 신뢰하는 장치이며, 공급망은 제품의 일부입니다. Yubico의 펌웨어는 의도적으로 업데이트할 수 없으며, 이는 변조 방지에 좋지만 침해된 키는 절대 수정할 수 없고 교체만 가능하다는 의미입니다.
04올바른 순서로 설정하기
순서가 중요합니다. 다른 모든 계정을 재설정할 수 있는 계정부터 시작하고, 도중에 자신을 잠그지 않도록 하세요.
-
이메일부터 시작하세요
소유한 다른 모든 계정이 이를 통해 복구되므로, 이것이 진짜 표적입니다. 이메일 제공업체의 보안 설정으로 가서 다른 무엇보다 먼저 두 키를 모두 추가하세요. 이메일 제공업체가 보안 키를 지원하지 않는다면, 이는 이 과정을 건너뛸 이유가 아니라 제공업체를 바꿀 이유입니다.
-
두 키를 동시에 등록하세요
모든 계정에서 한 번에 하세요. 사람들이 겪는 실패 유형은 지금 키 하나를 등록하고 "예비 키는 나중에 추가"하는 것입니다 — 나중은 오지 않고, 그러다 첫 번째 키가 세탁기를 거치게 됩니다.
-
복구 코드를 제대로 저장하세요
모든 사이트에서 일회용 복구 코드 세트를 제공합니다. 이는 키를 완전히 우회하는 것이므로, 키 자체와 같은 주의를 기울여야 합니다. 비밀번호 관리자에 넣거나, 인쇄해서 물리적으로 안전한 곳에 보관하세요. 사진을 찍지 말고, 다운로드 폴더에 두지 마세요.
-
이제 더 약한 방법들을 검토하세요
SMS 코드가 대체 수단으로 남아 있다면, SIM 스왑으로 키를 우회할 수 있습니다. 두 키가 모두 작동하면, 서비스가 허용하는 모든 곳에서 SMS를 끄세요. 인증기 코드는 복구 경로로 필요한 곳에만 남겨두고, 그 시드와 복구 코드는 비밀번호 관리자에서 보호하며, 남은 복구 방법을 테스트하기 전에는 어떤 방법도 제거하지 마세요.
-
목록을 따라 내려가세요
이메일 다음으로: 키를 지원한다면 비밀번호 관리자, 그다음 클라우드 스토리지, 그다음 글을 올리는 소셜 계정, 그다음 결제 수단이 연결된 모든 것, 그다음 코드 호스팅. 남은 것은 한가한 저녁에 해도 됩니다.
-
예비 키를 넣어두기 전에 테스트하세요
로그아웃한 뒤 백업 키만 사용해 다시 로그인하세요. 테스트하지 않은 백업은 추측일 뿐입니다.
05이것이 보호해주지 않는 것
보안 키는 일반인이 사용할 수 있는 가장 강력한 단일 통제 수단이지만, 여전히 범위가 좁습니다. 피싱은 막아줍니다. 다음은 막지 못합니다.
- 피싱 페이지, 아무리 그럴듯해도, 실시간 릴레이 공격을 포함합니다.
- 크리덴셜 스터핑, 다른 사이트 유출로 얻은 비밀번호는 이제 그 자체로 쓸모가 없습니다.
- 비밀번호 추측 및 스프레이 공격.
- 대부분의 SIM 스왑 공격, SMS가 대체 수단에서 제거되면.
- 이미 컴퓨터에 있는 악성코드. 로그인한 후 누군가 당신의 세션을 지켜보고 있다면, 키는 이미 제 역할을 다한 뒤 우회된 것입니다.
- 세션 쿠키 탈취. 살아있는 세션 토큰을 훔친 공격자는 로그인할 필요조차 없습니다.
- 복구 경로. 지원 담당자를 설득해서 계정을 재설정하게 만들 수 있다면, 당신의 키는 무의미합니다. 이것이 이제 키로 보호된 계정이 뚫리는 가장 흔한 방식입니다.
- 당신과 키를 함께 물리적으로 압수하는 경우.
- 보호하는 것을 잊은 계정들, 공격자들이 다음으로 향할 곳입니다.
그것은 정문을 완전히 닫아버리고, 공격자는 창문으로 옮겨갑니다. 그것은 여전히 엄청난 개선입니다. 정문은 거의 모든 트래픽이 있던 곳이니까요. 하지만 여기서 멈추지 말고 이 사이트의 나머지 부분을 계속 읽어야 하는 이유이기도 합니다.
06YubiKey를 원하지 않는다면
YubiKey가 기본인 이유는 가장 널리 지원되고 가장 철저히 검토되었기 때문이지, 유일한 선택지이기 때문이 아닙니다. 우리는 이들 중 어느 곳에서도 돈을 받지 않습니다.
Nitrokey
독일 제품으로, 오픈 소스 펌웨어와 하드웨어 설계를 갖추고 있으며, "내가 직접 검사할 수 있기를 원한다"는 점이 최대 호환성보다 더 중요하다면 선택할 만합니다. 가이드의 보안 키 섹션에서 대안으로 다룹니다.
nitrokey.com ↗패스키로서의 휴대폰
최신 휴대폰은 FIDO2 인증기 역할을 할 수 있어 동일한 피싱 저항성을 무료로 얻을 수 있습니다. 한 가지 특정한 점에서 더 약합니다: 휴대폰은 압수되거나, 잠금 해제되거나, 침해될 가능성이 가장 높은 기기입니다. 두 번째 요소로서는 좋지만, 유일한 요소로는 아닙니다.
07사람들이 실제로 묻는 질문
키를 잃어버리면 어떻게 되나요?
제대로 했다면 아무 일도 없습니다: 두 번째 키를 사용한 다음, 모든 계정에서 분실한 키를 제거하고 교체 키를 등록하면 됩니다. 이것이 바로 이 가이드가 두 개를 구매하라고 강조하는 이유입니다. 그렇게 하지 않았다면 복구 코드로 돌아가게 되고, 그것마저 없다면 제공업체의 계정 복구 절차에 의존하게 되는데, 이는 몇 주가 걸릴 수 있고 때로는 실패합니다.
내 키를 훔친 사람이 내 계정에 들어갈 수 있나요?
그것만으로는 안 됩니다. 키는 두 번째 요소이므로 여전히 비밀번호가 필요하며, 대부분의 구성에서는 키의 PIN도 필요하고, 이는 몇 번의 잘못된 시도 후 기기를 잠급니다. 도난당한 키는 침해가 아니라 당신에게 불편함일 뿐입니다. 그래도 계정에서 제거하세요.
항상 가지고 다녀야 하나요?
새로운 곳에 로그인할 때만입니다. 대부분의 사이트에서는 기기를 신뢰할 수 있는 기기로 표시할 수 있어 일상적으로는 키를 거의 만질 일이 없습니다 — 일반적으로 새 컴퓨터를 설정할 때나 쿠키를 삭제한 후입니다. NFC 모델은 휴대폰에 대고 태그하면 작동하므로 사람들이 상상하는 대부분의 번거로움이 사라집니다.
패스키도 같은 건가요?
패스키는 동일한 암호화 기술과 동일한 피싱 저항성을 갖습니다. 차이는 그것이 어디에 저장되는가입니다. 휴대폰이나 브라우저 계정에 있는 패스키는 회사의 클라우드를 통해 동기화되며, 이는 편리하지만 그 계정의 강도가 곧 당신의 패스키 강도가 된다는 뜻입니다. 하드웨어 키에 있는 패스키는 동기화, 복사, 추출할 수 없습니다. 중요한 계정에는 하드웨어에 저장하세요.
어떤 계정에 먼저 적용해야 할까요?
이메일은 항상 먼저입니다. 그다음 비밀번호 관리자, 그다음 당신이 게시 활동을 하는 모든 것, 그다음 돈을 보관하는 모든 것입니다. 이 주제에 대해 문서화하거나 보도한다면, 당신이 게시하는 계정은 은행보다 적대자에게 더 가치가 있습니다. 그것을 잃는다는 것은 다른 누군가가 당신의 이름으로 말한다는 뜻이며, 이는 지불 거부로 되돌릴 수 없습니다.
08출처 및 추가 자료
- Yubico — 공식 사이트 및 모델 비교 yubico.com
- FIDO Alliance, FIDO2 / WebAuthn 표준 fidoalliance.org
- Nitrokey — 오픈 소스 하드웨어 및 펌웨어 대안 nitrokey.com
- EFF Surveillance Self-Defense — 계정 보안 ssd.eff.org
- Privacy Guides — 다중 인증 privacyguides.org
최종 검토: 2026년 9월 25일