Microsoft 365의 패스워드리스 인증 완벽 가이드

By Mirko Peters · 2026-08-27

청취자와 독자 여러분, 다시 찾아주셔서 감사합니다! 최근 팟캐스트 에피소드를 들으셨다면, 오늘날 가장 시급한 사이버 보안 주제 중 하나인 전통적인 비밀번호의 퇴출에 대해 깊이 다뤘다는 것을 아실 겁니다. 이번 블로그 글에서는 그 이야기를 이어가며, Microsoft 365에 기본으로 포함된 최신 보안 도구를 활용해 조직 전체에서 비밀번호를 단계적으로 없애는 포괄적이고 매우 실용적인 청사진을 소개하겠습니다.

Automatically translated with AI from the original post. Read the English original

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

냉정한 현실부터 짚고 넘어가겠습니다. 비밀번호는 근본적으로 취약합니다. 해마다 발표되는 데이터 유출 사례는 도난당하거나 약하거나 재사용된 자격 증명이 여전히 사이버 공격의 주요 경로라는 사실을 확인해 줍니다. 피싱 캠페인은 점점 정교해져서, 보안 의식이 가장 높은 직원조차 가끔 피해를 입곤 합니다. 이제 제로 트러스트의 시대입니다. 제로 트러스트 아키텍처에서는 "절대 신뢰하지 말고, 항상 검증하라"는 원칙에 따라 운영합니다. 사용자가 포스트잇에 적어 두고, 여러 웹사이트에서 재사용하며, 위조된 로그인 페이지에서 영리한 공격자에게 쉽게 넘겨주는 비밀 문자열에 의존하는 한, 진정한 제로 트러스트 태세는 결코 갖출 수 없습니다.

다행히 Microsoft 365는 강력한 패스워드리스 인증 방식 모음을 제공합니다. 조직이 비밀번호에서 벗어나면 공격 표면을 획기적으로 줄이고, 자격 증명 탈취를 제거할 수 있으며, 아이러니하게도 사용자 경험까지 개선됩니다. 월요일 아침마다 계정이 잠겨 불만이 쌓이는 직원도, 비밀번호 재설정에 헬프데스크 시간을 잡아먹는 일도 없어집니다. 이제 도구 모음을 살펴보고, 끊김 없는 패스워드리스 엔터프라이즈를 구현하는 방법을 알아보겠습니다.

Microsoft 365의 패스워드리스 도구 모음 이해하기

배포 전략을 논하기 전에, 우리의 무기고에 어떤 도구가 있는지 살펴보겠습니다. Microsoft Azure Active Directory(현재 Microsoft Entra ID)는 패스워드리스 인증을 위한 여러 주요 메커니즘을 지원합니다. 각 메커니즘은 사용자 유형, 디바이스 상태, 비즈니스 사용 사례에 따라 조금씩 다른 역할을 합니다.

첫째, Windows Hello for Business가 있습니다. 전용 회사 Windows 엔드포인트를 위한 최고 표준입니다. 지문이나 얼굴 인식 같은 생체 인증 또는 PIN과 연결된 기기 고유 자격 증명으로 구성된 강력한 2단계 인증으로 비밀번호를 대체합니다. 개인 키는 기기 하드웨어를 벗어나지 않으므로 서버 측 유출의 영향을 받지 않습니다.

둘째, FIDO2 보안 키와 패스키가 있습니다. 하드웨어 토큰(YubiKey 등)이나 플랫폼 기반 패스키로, FIDO Alliance가 개발한 개방형 표준을 사용합니다. 암호화 질의-응답 방식 덕분에 자격 증명은 등록된 정확한 도메인에서만 사용할 수 있으므로, 설계 단계부터 피싱에 강합니다. 사용자가 피싱 사이트에 접속하더라도 키는 서명을 거부합니다.

셋째, Microsoft Authenticator 앱이 있습니다. 모바일 중심으로 일하는 직원, BYOD(개인 기기 사용) 환경, 하이브리드 환경을 운영하는 조직에서는 Authenticator 앱의 숫자 일치 기능이 푸시 알림 방식으로 마찰 없이 동작하며, 사용자가 안전하고 빠르게 본인을 확인하도록 합니다.

마지막으로 임시 액세스 패스(TAP)가 있습니다. 일상적인 로그인 방식은 아니지만, 새 사용자를 온보딩하고, 잠긴 계정을 복구하거나, 새 하드웨어를 프로비저닝할 때 안전하지 않은 레거시 임시 비밀번호를 발급하지 않아도 되도록 해 주는 중요한 가교 역할을 합니다.

엔터프라이즈 엔드포인트를 위한 Windows Hello for Business 구현하기

조직이 Windows 10 및 Windows 11 기기에 크게 의존한다면, Windows Hello for Business(WHfB)가 패스워드리스 여정의 기반이 되어야 합니다. WHfB를 배포하려면 인증 기관, 클라우드 신뢰, 키 신뢰 모델을 신중하게 계획해야 하지만, 그만큼 얻는 효과도 큽니다.

WHfB를 구현할 때는 선택할 수 있는 기본 배포 모델이 두 가지 있습니다. 바로 Cloud Trust와 Hybrid Key Trust입니다. 클라우드 우선 전략을 취하는 현대적인 조직이라면 Microsoft Entra Cloud Trust 모델이 판도를 바꾸는 선택지입니다. 도메인 컨트롤러로의 공개 키 기반구조(PKI) 동기화 의존성을 없애 배포 아키텍처를 단순화합니다. 대신 인증은 Kerberos 프로토콜 확장을 활용해 클라우드에서 직접 이루어집니다.

시작하려면 Microsoft Intune을 통해 Windows Hello for Business 정책을 구성해야 합니다. 엔드포인트 보안 정책으로 이동해 PIN 복잡성 요구 사항이 설정되어 있는지, 생체 인증 방법이 사용 설정되어 있는지, 그리고 기기 하드웨어가 지원하는 경우 스푸핑 방지 기능이 켜져 있는지 확인합니다. 또한 사용자에게 하드웨어 보안 모듈 사용을 요구할지도 정의해야 합니다(엔터프라이즈급 보안을 위해 TPM 2.0은 필수입니다).

이 기능을 배포할 때는 최종 사용자와 명확하게 소통해야 합니다. 사용자의 Windows PIN은 실물 노트북에만 연결되며 네트워크를 통해 가로채일 수 없다는 점을 설명하십시오. 사용자가 얼굴 인식이나 간단한 PIN으로 보안 하드웨어 엔클레이브(enclave)를 잠금 해제해 기기에 로그인하는 경험을 하고 나면, 영문자와 숫자가 섞인 16자리 복잡한 비밀번호를 다시는 입력하고 싶어 하지 않게 될 것입니다.

FIDO2 보안 키와 패스키 활용하기

Windows Hello for Business는 Windows 엔드포인트에 훌륭하지만, Mac 사용자, Linux 개발자, 공용 워크스테이션 사용자, 여러 기기를 오가며 일하는 직원은 어떻게 해야 할까요? 바로 이 지점에서 FIDO2 보안 키와 패스키가 가장 빛을 발합니다.

FIDO2 키는 피싱 방지 인증의 정점이라 할 수 있습니다. 인증 프로토콜이 공개 키 암호화를 사용하므로, 보안 키에 저장된 자격 증명은 피싱당하거나 중간자 공격(man-in-the-middle)으로 탈취되거나 데이터베이스 유출로 수집될 수 없습니다. 사용자가 USB 보안 키를 꽂거나(또는 NFC로 태그하고) 센서를 터치하면, 암호화된 어설션이 Microsoft Entra ID로 전송됩니다.

FIDO2 키를 구현하려면 Microsoft Entra 인증 방법 정책에서 해당 기능을 사용하도록 설정해야 합니다. 이 정책의 적용 범위를 특정 파일럿 그룹으로 제한할 수 있습니다. 예를 들어 IT 관리자와 경영진부터 시작한 뒤 전사로 확대하는 방식이 좋습니다. 사용자가 안전한 사내 환경에서 또는 검증된 온보딩 절차를 통해 키를 등록하도록 등록 요구 사항을 강제하는 것이 매우 중요합니다.

또한 iOS, Android, macOS 같은 운영 체제에 통합된 플랫폼 패스키도 살펴보시기 바랍니다. 사용자는 휴대폰에 내장된 생체 인식 센서(FaceID, TouchID 또는 Android 생체 인식)를 사용해 브라우저와 기기 전반에서 Microsoft 365 서비스에 안전하게 로그인할 수 있습니다. 하드웨어 토큰과 일상적인 편의성 사이의 간극을 메워 줍니다.

Microsoft Authenticator로 모바일 중심 액세스 열기

엔터프라이즈의 모든 직원이 책상에 앉아 전용 노트북이나 하드웨어 보안 키를 사용하는 것은 아닙니다. 프런트라인 직원, 현장 기술자, 계약직 직원은 모바일 중심 환경에서 근무하는 경우가 많습니다. 이런 사용자에게는 Microsoft Authenticator 앱이 가장 이상적인 암호 없는 인증 수단입니다.

Microsoft Authenticator를 암호 없는 상태로 전환하려면 전화 로그인을 구성해야 합니다. 전화 로그인을 사용하도록 설정하면 사용자가 사용자 이름을 입력하고, 비밀번호를 묻는 대신 모바일 기기로 알림이 전송됩니다. Authenticator 앱은 로그인 화면에 표시된 번호와 일치하는 번호를 입력하도록 요청한 뒤, 생체 인증(FaceID, 지문 또는 PIN)으로 확인을 받습니다.

이 구현으로 푸시 피로도 공격(공격자가 사용자가 실수로 승인할 때까지 푸시 알림을 끝없이 보내는 공격)의 위험을 완전히 없앨 수 있습니다. 숫자 일치를 강제하면 사용자는 반드시 로그인 화면을 보고 번호를 읽어 휴대폰에 입력해야 합니다. 로그인을 시도한 적이 없다면 "본인이 아닙니다"를 탭하면 됩니다. 이 응답은 Microsoft Entra ID의 자동 위험 정책을 작동시켜 공격자를 차단하고 해당 계정을 표시할 수 있습니다.

Microsoft Authenticator로 암호 없는 액세스를 배포할 때는 기기 수준 보안 정책이 적용되도록 해야 합니다. Authenticator 앱 자체에서 앱 잠금을 요구하고, 호스트 모바일 기기를 Microsoft Intune으로 관리하거나 규정을 준수하는 운영 체제 버전을 요구하는 조건부 액세스 정책으로 보호해야 합니다.

Temporary Access Pass(TAP)로 온보딩과 복구 관리하기

암호 없는 전략을 검토할 때 기업이 가장 자주 망설이는 지점 중 하나가 "닭이 먼저냐 달걀이 먼저냐"와 같은 온보딩 딜레마입니다. 보안 키, 등록된 휴대폰, Windows Hello PIN이 아직 없는 신입 사원은 어떻게 인증해야 할까요? 전통적으로 기업은 쉽게 추측할 수 있는 임시 초기 암호를 나눠 주는 방식에 의존했습니다. 하지만 이 방식은 직원의 계정 수명 주기가 시작되는 바로 그 순간에 취약한 구간을 만들어 냅니다.

이때 등장하는 것이 임시 액세스 패스(TAP)입니다. TAP은 Microsoft Entra ID에서 구성할 수 있는, 시간이 제한된 패스코드 기반 인증 방법으로, 사용자가 암호 없는 인증 방법을 등록할 수 있도록 합니다. TAP은 한 번만 사용할 수 있으며(특정 마이그레이션 시나리오로 구성한 경우에는 여러 번 사용 가능), 수 분에서 수 시간에 이르는 엄격한 유효 기간을 가집니다. 관리자나 헬프 데스크가 안전하게 생성할 수 있습니다.

TAP을 활용한 실제 온보딩 시나리오를 살펴보겠습니다.

HR이 신규 입사자 워크플로를 시작하면, IT가 Microsoft Entra ID에서 사용자 계정을 프로비저닝합니다.
관리자는 만료 시간이 1시간인 임시 액세스 패스를 생성하고, 보안 문자 메시지나 암호화된 온보딩 포털처럼 대역 외(out-of-band) 채널을 통해 신규 입사자에게 안전하게 전달합니다.
신규 입사자는 *오직* TAP만 사용해 새 노트북이나 브라우저에 로그인합니다.
TAP이 강력한 인증 요구 사항을 충족하기 때문에, 사용자에게는 곧바로 영구적인 암호 없는 자격 증명을 등록하라는 메시지가 표시됩니다. 예를 들어 Windows Hello for Business를 설정하거나, FIDO2 보안 키를 등록하거나, Microsoft Authenticator 앱을 등록하는 것입니다.
등록이 끝나면 TAP은 만료되고, 사용자는 첫날부터 완전히 암호 없이 업무를 시작할 수 있습니다.

TAP은 계정 복구에서도 똑같이 혁신적입니다. 직원이 보안 키를 잃어버리거나 휴대폰을 바꾸더라도, 헬프 데스크가 대체 암호를 발급할 필요가 없습니다. 헬프 데스크는 TAP만 생성하면 되고, 사용자는 이를 통해 안전하게 인증한 뒤 대체 기기나 토큰을 직접 프로비저닝할 수 있습니다.

포괄적인 암호 없는 전략을 수립하기 위한 모범 사례

기업 전체를 암호에서 벗어나게 하는 일은 스위치 하나로 끝나는 작업이 아닙니다. 전략적이고 단계적인 도입이 필요합니다. 팟캐스트에서 이야기한 것처럼, 변화 관리와 정책 시행은 기술 자체만큼이나 중요합니다. 암호 없는 여정을 확실히 성공시키기 위해 반드시 지켜야 할 핵심 모범 사례는 다음과 같습니다.

1. 단계적 도입 방식 채택

어느 주말 하루에 회사 전체를 대상으로 "빅뱅" 방식의 암호 없는 전환을 시도하지 마십시오. 먼저 IT 팀과 보안 팀부터 시작하십시오. 이들은 기술을 이해하고, 예외 상황을 해결할 수 있으며, 사내 챔피언 역할을 할 수 있습니다. 다음으로 경영진과 기술 친화적인 사업 부서로 확대하십시오. 운영상의 문제를 어느 정도 해결했다면, 일반 사무직 직원으로 범위를 넓히고, 마지막으로 현장 근무자나 제조 등 특수 환경에 적용하십시오.

2. 조건부 액세스 정책을 신중하게 활용

암호 없는 정책은 Microsoft Entra 조건부 액세스와 긴밀하게 통합되어야 합니다. 중요한 클라우드 앱에 대한 액세스에는 피싱에 강한 인증 방법을 요구하는 정책을 만드십시오. 반면 위험도가 낮은 애플리케이션에는 전환 기간 동안 기존 방식을 임시로 허용할 수도 있습니다. 세션 제어를 사용해 세션 수명을 제한하고, 위험 신호가 급증하면 다시 인증하도록 하십시오.

3. 사용자 교육과 변화 관리에 적극 투자

기술 변화는 사람을 빼놓고 계획할 때 실패합니다. 사용자는 수십 년 동안 암호를 사용해 왔기 때문에 익숙합니다. 이 전환을 *왜* 하는지 충분히 설명해야 합니다. 암호 없는 인증을 IT 부서의 지시가 아니라, 사용자의 업무를 더 편하게 만들어 주는 보호 조치로 설명하십시오. 복잡한 암호를 잊어버릴 일도, 분기마다 강제로 암호를 바꿀 일도 없고, 로그인은 훨씬 빨라진다는 점을 강조하는 것입니다.

4. 대체 수단과 예외 상황 계획

문제가 생겼을 때 어떤 일이 일어날지 항상 예상해 두십시오. 출장 중에 사용자가 휴대폰을 망가뜨리면 어떻게 할까요? 하드웨어 보안 키를 물웅덩이에 빠뜨리면 어떻게 할까요? 조직의 보안을 훼손하지 않으면서도 사용자가 신속하게 액세스를 되찾을 수 있도록, TAP과 검증된 헬프 데스크 신원 확인 절차를 활용한 명확하고 안전한 워크플로를 마련하십시오.

Windows Hello for Business, FIDO2 보안 키, Microsoft Authenticator, 임시 액세스 패스(Temporary Access Pass)를 함께 활용하면 취약하고 낡은 비밀번호 시대에 마침표를 찍을 수 있습니다. 필요한 도구는 이미 갖춰져 있고, 아키텍처도 검증되었으며, 보안상의 이점도 분명합니다. 이제 진정한 제로 트러스트 기반의 암호 없는 미래로 나아갈 때입니다.

끝까지 읽어 주셔서 감사합니다! 아직 구독하지 않으셨다면 팟캐스트를 구독하시고, 이 글을 보안 팀과 공유해 주세요. 그리고 Microsoft Defender의 고급 위협 헌팅을 다루는 다음 심층 분석 에피소드도 기대해 주십시오!