Cheondi

Independent Technology Review

Cheondi Review

Issue 04 April 2026

  • WebAuthn
  • Passkeys
  • RP Verification
  • Recovery

Authentication Standard

패스키가 비밀번호를 없애도 서버 검증은 남는다

공개키 자격 증명의 등록과 인증 ceremony를 정의하는 WebAuthn Level 3의 서버 검증 절차와 보안 고려사항을 읽는다.

사용자 경험은 간단해져도 서버는 challenge, origin, RP ID, credential 연결을 더 정확히 관리해야 한다.

W3C · Web Authentication Working Group ·

Web Authentication Level 3: 원문 GitHub 내 포스팅

Registration

패스키 등록에서 서버가 보관하는 것

서버가 challenge를 만들고 브라우저의 등록 결과를 검증한 뒤 credential ID와 공개키를 계정에 연결하는 흐름을 설명한다.

브라우저 API 호출만 붙이면 끝나는 기능이 아니라 등록 전 로그인 상태와 중복 credential 정책까지 함께 설계해야 한다.

web.dev · Eiji Kitamura ·

Create a passkey for passwordless logins: 원문 GitHub 내 포스팅

Server Verification

서버 검증 체크리스트의 실제 범위

등록 응답에서 challenge, origin, RP ID, 공개키 알고리즘과 credential ID를 확인하는 서버 측 절차를 차례로 정리한다.

SDK를 쓰더라도 검증에 넣는 기대값이 어느 세션과 도메인에서 왔는지는 애플리케이션이 책임져야 한다.

Google for Developers · Google Identity Team ·

Server-side passkey registration: 원문 GitHub 내 포스팅

Source Code Shelf

이번 호와 함께 펼쳐볼 저장소

W3C Bikeshed

w3c/webauthn

WebAuthn 명세 원문과 browser, authenticator, relying party 사이의 논의를 확인할 수 있다.

저장소 보기

Matthew Miller TypeScript

MasterKale/SimpleWebAuthn

등록과 인증 옵션 생성, 응답 검증을 서버와 브라우저 패키지로 나눈 구현을 읽을 수 있다.

저장소 보기

Yubico Java

Yubico/java-webauthn-server

Java 서버에서 WebAuthn relying party 검증과 credential 저장 모델을 살펴볼 수 있다.

저장소 보기

Cheondi's Desk

Authentication Boundary

패스키 인증의 서버 검증 경계

패스키의 편한 로그인 화면 뒤에서 서버가 끝까지 책임져야 하는 등록, 인증, 복구 경계를 정리한 기록이다.

참고 자료 3개 · 코드 저장소 3개

개인 기록 읽기

직접 읽고 고른 글을 짧게 소개합니다. 원문의 저작권은 각 작성자와 발행처에 있으며, 전문 대신 출처와 연결되는 독서 메모만 남깁니다.