PC를 바꾸기 전, 패스키는 어디에 있나요?

PC나 휴대전화를 바꾸기 전에, 새 기기에서도 지금 쓰는 계정에 로그인할 수 있는지 확인해 보세요. 얼굴 인식이 되는 현재 PC를 곧 지울 예정이라면 로그인 열쇠가 그 PC 안에만 있는지, 다른 기기에서도 쓸 수 있는지부터 알아야 합니다.

패스키는 사이트에 로그인할 때 비밀번호 대신 사용하는 디지털 열쇠입니다. 얼굴·지문·PIN은 그 열쇠를 쓰도록 허락하는 잠금 해제 방법이며, 열쇠가 어디에 저장됐는지를 알려 주지는 않습니다. 이 글은 Windows 11에서 새 패스키를 저장하거나 기기를 바꾸기 전에, 다른 기기에서도 로그인할 길이 남는지 판단하는 글입니다. 이미 모든 로그인 수단을 잃었다면 해당 서비스의 계정 복구가 먼저입니다.

저장 창에서 고른 위치를 찾습니다

Windows에서 패스키 저장 창을 보면 암호 관리자, 휴대전화나 태블릿, 물리 보안키, Windows Hello 같은 선택지가 나타날 수 있습니다. Microsoft의 패스키 저장 안내도 이 네 갈래를 구분합니다. 다만 모든 PC에서 같은 선택지가 보이는 것은 아닙니다. Windows 버전, 브라우저, 개인 계정인지 회사·학교 계정인지, 조직 정책이 무엇인지에 따라 메뉴가 달라집니다.

개인 Microsoft 계정에서는 공식 계정 보안의 로그인 방법 추가 화면에서 저장 위치를 선택하고, 저장 창의 변경 또는 다른 방법으로 저장 항목을 확인합니다. 회사·학교 계정은 조직이 허용한 로그인 방법만 사용하세요. 메뉴가 보이지 않으면 기존 패스키를 지우지 말고 계정 종류·Windows 버전·저장 공급자·앱 권한을 기록해 확인합니다.

여러 기기에 동기화했다면 공급자 계정도 확인합니다

개인용 노트북과 데스크톱, 휴대전화를 번갈아 쓰는 사람에게는 동기화형 패스키가 가장 자연스럽습니다. 같은 공급자 계정으로 연결된 기기에서 새 패스키를 매번 다시 만들지 않아도 되기 때문입니다. Microsoft의 개인 사용자 안내는 가능한 경우 동기화형 자격 증명 관리자를 쓰고, 로컬 저장을 택한다면 다른 기기에도 별도의 패스키를 만들어 ‘디지털 예비 열쇠’를 두라고 안내합니다.

여기서 동기화와 계정 복구는 분리해 봐야 합니다. 동기화된 패스키가 있어도 새 기기에서 공급자 계정 자체를 복구하지 못하면 접근이 막힐 수 있습니다. 반대로 사이트의 이메일 복구만 믿고 패스키를 하나만 만들어 두면, 공격에 강한 로그인 수단을 만들어 놓고 가장 약한 복구 메일이 전체 보안을 결정하는 모순이 생깁니다.

실전에서는 패스키를 만들기 전에 세 가지를 확인하면 됩니다. 첫째, 휴대전화 번호나 복구 이메일이 최신인지 봅니다. 둘째, 현재 패스키 공급자 계정에 로그인 가능한 다른 기기가 있는지 확인합니다. 셋째, 은행·업무 관리자처럼 접근 중단의 비용이 큰 계정은 별도의 보안키나 두 번째 기기 귀속 패스키를 준비합니다.

Windows Hello에만 저장한 경우의 기기 교체

Windows Hello에 저장한 패스키는 해당 PC에서 얼굴·지문·PIN으로 빠르게 사용할 수 있습니다. 비밀키가 기기 밖으로 동기화되지 않는 기기 귀속형 방식은 ‘회사 밖 개인 클라우드에 자격 증명이 이동하면 안 된다’는 조건과 잘 맞습니다. Microsoft Entra의 Windows 패스키 역시 해당 PC의 Windows Hello 보관 영역에 저장되는 기기 귀속형이며, 기기마다 다시 등록해야 한다고 안내되어 있습니다.

대신 PC를 초기화하거나 메인보드·TPM 관련 문제가 생겼을 때 같은 패스키가 새 PC에 저절로 나타날 것이라고 기대하면 안 됩니다. Windows Hello를 선택했다면 계정에 다른 로그인 수단을 남겨 두거나, 다른 기기에도 패스키를 등록하거나, 조직이 허용하는 예비 보안키를 마련해야 합니다. “클라우드에 안 올라간다”는 장점은 “그 PC를 잃으면 함께 잃을 수 있다”는 비용과 한 쌍입니다.

회사·학교 계정에서 허용하는 저장 위치

업무 계정에서는 사용자가 원하는 저장 위치보다 조직 정책이 우선할 수 있습니다. 관리자는 허용할 패스키 유형과 공급자를 제한할 수 있고, Windows Hello for Business와 Microsoft Entra 패스키는 이름이 비슷해도 역할이 같다고 단정할 수 없습니다. 전자는 기기 로그인과 조직 서비스에 한 번의 로그인으로 접근하는 SSO를 담당하는 자격 증명이고, Entra 패스키는 Windows Hello 컨테이너를 이용해 Entra ID에 로그인하는 별도의 FIDO2 패스키입니다.

관리자·재무·인프라 계정처럼 권한이 큰 경우에는 편의성만 보고 동기화형을 일괄 적용하기보다 기기 귀속형이나 물리 보안키를 포함한 정책이 적합합니다. 반면 일반 직원 전체에 기기 귀속형만 강제하면 기기 교체와 재발급 부담이 커질 수 있습니다. Microsoft도 엄격한 기기 경계가 필요한 사용자와 일반 사용자의 복구·운영 비용을 구분해 판단하도록 안내합니다.

‘앱에서 패스키가 안 된다’면 삭제부터 하지 마세요

Microsoft의 Windows 패스키 안내에 따르면, Windows 11 24H2부터는 앱이 패스키에 접근하기 전에 개인정보 동의가 표시될 수 있습니다. 여기서 거부한 앱은 패스키 등록과 인증이 동작하지 않을 수 있습니다. 패스키 자체가 망가졌다고 생각해 계정에서 삭제하기 전에 설정 → 개인정보 및 보안 → 패스키 액세스에서 해당 앱 권한을 확인하는 편이 안전합니다.

또 하나의 흔한 실수는 기존 기기의 패스키를 먼저 지우고 새 기기에서 만들려는 것입니다. 새 기기에서 해당 계정에 실제로 로그인해 보기 전에는 기존 수단을 먼저 지우지 않는 편이 안전합니다. 새 패스키로 로그인이 되는 것을 확인한 뒤에 기존 패스키를 정리해야 합니다.

기존 로그인 수단을 지우기 전에 한 번 더 들어가 봅니다

다음 순서로 결정하면 됩니다.

1. 개인용 여러 기기를 오가며 복구 편의가 중요하다면 동기화형 암호 관리자를 우선 검토합니다.
2. 자격 증명을 특정 PC 밖으로 내보내면 안 되거나 고권한 계정이라면 Windows Hello 또는 물리 보안키를 검토합니다.
3. 로컬 저장을 고르면 다른 기기 패스키나 예비 보안키를 함께 만듭니다.
4. 회사·학교 계정은 개인 판단으로 공급자를 바꾸기 전에 조직 정책과 지원 범위를 확인합니다.
5. 새 저장 방식으로 다른 기기에서 실제 로그인하고 복구 수단의 등록 상태도 확인한 뒤, 더 이상 쓰지 않을 패스키의 정리 여부를 결정합니다. 복구 수단 확인을 위해 일부러 계정을 잠그거나 유일한 기기를 초기화하지는 않습니다.

새 기기에서 로그인이 되는 것을 확인했다면 이전 기기를 정리할 수 있습니다. 유일한 로그인 수단이 남아 있는 기기를 먼저 초기화하지 마세요. 회사 계정의 기기 반납과 자격 증명 정리는 담당자의 절차를 따릅니다.