새 계정을 패스키로 생성

개요

주제: 소비자, 패스키, 계정 생성
고객 여정: 인식 > 고려 > 등록 > 관리 > 인증
생성: 2023년 5월 6일

사용자가 (비밀번호 없이) 패스키로 새 계정을 만들 수 있도록 허용합니다.

패스키를 사용하여 새 계정 생성 추가

• 비밀번호 필드를 표시하지 않고 사용자 이름을 요청합니다.
• 사람들에게 패스키를 만드는 것이 계정 생성의 일부라는 사실을 알려 패스키에 대한 관심과 신뢰를 높입니다.
• 패스키는 새로운 것이지만 터치 또는 얼굴을 사용한 로그인은 모두에게 익숙하고 많은 사람들이 신뢰합니다.
• 보안 정책 및 비즈니스 요구 사항에 따라 대체 인증 방법을 포함합니다.
• 소비자를 위한 많은 서비스에서 [userVerifcation](https://web.dev/articles/webauthn-user-verification) 요구 사항을 preferred로 설정합니다. 예를 들어 Google 로그인은 preferred를 사용합니다.

결과

• 비밀번호를 생성할 필요가 없어지고 패스키 생성 성공률이 높아져 계정 생성 시간이 단축됩니다.
• 피싱 방지 인증의 사용을 늘리고 여러 인증 단계 없이 인증 보증 레벨 2(AAL2)를 달성합니다.
• 사용자 기기에서 비밀번호 없는 로그인을 사용하도록 클라우드 제공업체에서 패스키를 동기화할 수 있으므로 계정 복구 문제가 줄어듭니다.
• SMS OTP와 같은 인증 방법을 제거하여 사용자 인지 부하를 낮춥니다.

흐름: 개략도

흐름 단계

1. 로그인 또는 계정 만들기 버튼을 선택합니다.
   홈페이지에서 사용자가 인증되지 않은 상태인 경우 로그인하거나 새 계정을 만들 수 있는 검색 가능한 단일 클릭 유도 문안(CTA)을 표시합니다.
2. DigitalBiz의 경우 이메일과 같은 식별자를 입력하여 로그인하거나 계정을 만드세요.
   사용자가 로그인 또는 계정 만들기 버튼을 선택하면 로그인 또는 계정 만들기라는 제목과 이메일 주소라는 제목의 편집 가능한 텍스트 필드가 있는 페이지가 표시되며, 여기에는 안내 텍스트인 이메일 주소 입력이 클릭 유도 문안(CTA)으로 표시되고 로그인 또는 계정 만들기를 시작합니다. 사용자가 유효한 이메일을 입력하기 전에 계속이라는 제목의 작업 버튼을 비활성 상태로 표시하여 이메일 입력이 로그인 또는 계정 만들기의 첫 번째 단계임을 강조합니다. 유효한 이메일 주소를 입력한 경우 계속 버튼을 실행 가능한 상태로 표시합니다. 시스템에서 이메일을 인식하지 못하는 경우 입력한 이메일 주소와 연결된 새 계정을 만듭니다.
3. 표시된 이메일 주소를 확인하여 계정 만들기를 합니다.
   패스키 생성 OS 대화상자를 표시하기 전에 표시된 이메일 주소로 계정이 생성되고 있음을 강조하는 페이지를 표시합니다. 제목 계정 만들기 및 안내 텍스트 다음을 사용하여 계정 만들기를 눈에 잘 띄게 표시하여 사용자가 익숙하지 않은 패스키 개념을 접하기 전에 계정을 제대로 만들고 있다는 확신을 줍니다. 사용자가 고유한 식별자를 확인하거나 업데이트하여 계정을 성공적으로 생성할 수 있도록 합니다.
4. 표시된 이메일 주소의 패스키를 만듭니다.
   패스키 OS 대화 상자를 표시하여 사용자가 지정된 이메일에 대한 패스키를 만들거나 거부할 수 있도록 합니다. (Android에서 계속 버튼을 선택하고 iOS에서 확인 버튼을 선택하여) 패스키를 만들도록 선택하면 모바일 OS에서 화면 잠금을 사용하여 인증하라는 메시지를 표시합니다. Android 사용자는 취소 버튼을 선택하여 패스키 생성을 거부할 수 있으며, iOS 사용자는 대화 상자 오른쪽 상단의 X를 선택하여 패스키 생성을 거부할 수 있습니다. 패스키 생성에 성공하면 OS에서 패스키 생성 확인 메시지가 표시되고 자동으로 사라지므로 별도의 조치가 필요하지 않습니다.
5. 계정 생성 확인: 오버레이 닫기 또는 계정 확인 보기.
   패스키를 생성한 사용자와 패스키 생성을 거부한 사용자를 포함한 모든 사용자에 대해 인증된 프로필 아이콘이 표시된 상태로 홈페이지 위에 오버레이를 통해 계정 생성 확인 메시지가 표시됩니다. 브랜드 보이스 및 어조와 일치하는 환영합니다 제목으로 시작합니다. 이때 패스키 생성을 선택한 사용자와 선택하지 않은 사용자를 포함한 모든 사용자가 인증됩니다. 기본 작업으로 계정 보기 버튼을 제공하여 사용자가 설정 내에서 새 패스키에 대한 정보를 보거나 비활성화할 수 있도록 안내합니다. 사용 가능한 모든 로그인 방법을 나열합니다. 대화상자를 닫을 수 있도록 X 어포던스를 표시하여 사용자가 사이트 활동을 시작할 수 있도록 합니다.
6. 계정 설정에서 패스키 카드를 봅니다.
   5단계에서 계정 보기 버튼을 선택한 경우 보안 설정으로 이동합니다. 새 계정으로 패스키가 생성되었음을 확인하려면 확인 표시가 있는 패스키 로고와 패스키 생성됨이라는 텍스트, 설정 페이지에서 패스키 카드로 이동하는 패스키 보기라는 제목의 링크를 표시합니다. 로그인 옵션 제목 아래에 패스키와 패스키를 사용할 수 없을 때 선택한 대체 방법을 포함하여 사이트에서 인증하는 데 사용할 수 있는 모든 방법을 지정합니다. 사용자가 패스키를 비활성화할 수 있는 옵션을 제공하고 패스키를 비활성화한 후 계정에 액세스하는 방법을 설명하는 메시지를 포함합니다. 예를 들어 패스키를 비활성화하면 비밀번호 또는 DigitalBiz에서 이메일로 전송한 코드를 사용하여 로그인합니다. 패스키는 소비자에게 새로운 용어, 새로운 시각적 아이콘이자 새로운 인증 방법입니다. 가능하면 사람들에게 패스키를 익숙한 개념, 시각 자료 및 경험과 비교하여 패스키의 특성과 가치를 이해하도록 돕습니다. 예를 들어 기기 아이콘 및 잠금 아이콘 옆에 패스키 아이콘(알 수 없음)을 사용합니다. 설정에서 패스키를 사용하는 이유, 패스키의 정의 및 패스키가 저장된 위치를 설명하는 메시지를 영구적으로 표시합니다.

흐름: 동영상

흐름: Android 프로토타입

tip

전체 화면으로 보려면 프로토타입 위로 마우스를 가져간 다음 확장 아이콘을 선택합니다.

흐름: iOS 프로토타입

tip

전체 화면을 보려면 프로토타입 위로 마우스를 가져간 다음 확장 아이콘을 선택합니다.

콘텐츠

사용자 테스트를 거친 어떤 버튼 레이블과 문구가 사람들에게 도움이 되는지 알아봅니다. 필요에 맞게 콘텐츠 예제를 복사하고 편집합니다.

패스키를 사용해야 하는 이유는 무엇인가요?
패스키를 사용하면 복잡한 비밀번호를 기억할 필요가 없습니다.

패스키란 무엇인가요?
패스키는 지문, 얼굴 또는 화면 잠금을 사용하여 생성하는 암호화된 디지털 키입니다.

패스키는 어디에 저장되나요?
패스키는 자격 증명 관리자에 저장되므로 다른 기기에서 로그인할 수 있습니다.

UX 리서치

• 사용자가 인증되지 않은 상태일 때 홈페이지에서 로그인과 계정 생성 모두에 대해 단일 어포던스를 제공합니다.

  연구 결과, 사람들이 로그인을 선택한 후 계정 생성 옵션을 표시하는 것보다 로그인과 계정 생성 옵션이 함께 표시될 때 DigitalBiz에서 계정 생성 동작이 더 많이 검색되는 것으로 나타났습니다. 또한 일부 참가자들은 가끔 계정이 있는지 확실하지 않은 경우가 있는데 다목적 버튼이 도움이 된다고 답했습니다.

• 비밀번호 필드를 제거합니다.

  연구에 따르면 로그인과 계정 생성 과정을 모두 이메일 주소를 입력하라는 메시지로만 시작하면(비밀번호 입력란 없음) 계정 생성 및 패스키를 사용한 로그인은 비밀번호가 필요 없는 간단하고 짧은 과정이라는 인식을 심어주는 데 도움이 되는 것으로 나타났습니다. 이 방법을 식별자 우선 접근 방식 또는 _홈 영역 탐색_이라고도 합니다.

• 계정 생성의 일부로 패스키를 생성한다는 신뢰 당사자(RP)의 확신은 패스키에 대한 관심과 신뢰를 높여줍니다.

  이 연구에 따르면 비밀번호 대신 (익숙하지 않은) 패스키를 생성하라는 메시지가 표시되면 계정 생성 방식에 대한 참가자의 기대에 어긋나는 것으로 나타났습니다. 계정 생성 설계의 초기 반복을 테스트했을 때, 2단계(로그인 또는 계정 생성을 위한 이메일 입력)에서 낯선 패스키 만들기 OS 대화 상자(4단계)로 바로 이동하는 것이 참가자에게는 짧아도 혼란을 준다는 사실을 발견했습니다. 이로 인해 계정을 제대로 만들고 있는 것이라는 확신이 약해졌고, 일부 참가자는 패스키를 만들기 전에 계정 생성을 포기하기도 했습니다.

• 패스키는 새로운 것이지만 터치 또는 얼굴을 사용한 로그인은 모두에게 익숙하고 많은 사람들이 신뢰합니다.

  이 연구에 따르면 비밀번호 대신 (익숙하지 않은) 패스키를 생성하라는 메시지가 표시되면 계정 생성 방식에 대한 참가자의 기대에 어긋나는 것으로 나타났습니다. 패스키에 대해 들어본 참가자는 없었으며, 많은 참가자가 처음에는 새 계정과 관련하여 패스키의 특성과 용도에 대해 확신하지 못하는 모습을 보였습니다.

  대부분의 참가자는 패스키 생성 OS 대화 상자의 텍스트와 기호를 기반으로 패스키가 비밀번호 대신 기기의 인증 시스템(예: 얼굴 또는 터치)을 사용하는 OS를 통해 신원을 확인하는 새로운 로그인 옵션이라고 추론했습니다. 많은 참가자에게 얼굴 또는 터치로 로그인하는 것은 모바일 앱이나 자격 증명 관리자에 대한 이전 경험을 바탕으로 빠르고 간편하며 안전하다고 인식되는 친숙하고 신뢰할 수 있는 프로세스였습니다. 여러 참가자가 얼굴 또는 터치를 사용한 로그인이 비밀번호를 사용하는 것보다 빠르고 쉽고 생체 인식이 해킹하기 어려운 고유한 식별자라고 언급했습니다.

• _화면 잠금_은 많은 소비자에게 낯선 용어였기 때문에 PIN, 비밀번호 또는 패턴을 사용하는 사람들이 패스키가 현재 기기 설정에서도 작동한다는 것을 인식하기 어려웠습니다.

  이 연구에 따르면 많은 참가자가 _화면 잠금_이라는 용어의 의미를 모른다고 자발적으로 언급했습니다. 이러한 이해 부족은 패스키 지원 기기에서 PIN, 비밀번호 또는 패턴을 화면 잠금으로 사용하는 소비자의 패스키 채택에 걸림돌이 될 수 있습니다.

• 개인정보보호 및 보안 문제는 일부 소비자의 패스키 채택을 가로막는 잠재적인 장벽입니다.

  이 연구에 따르면 많은 참가자가 모바일 앱에서 얼굴 또는 터치를 통해 로그인한 긍정적인 경험을 바탕으로 패스키 생성에 대해 편안함을 느낀다고 답했지만, 개인정보보호 및 보안 문제로 인해 일부 참가자는 패스키 생성을 거부했습니다.

  일부 참가자는 패스키를 단일 요소 인증으로 간주했으며, 암호와 코드 또는 링크를 포함하는 MFA보다 덜 안전하다고 인식했습니다. 주저하는 다른 참가자들은 정보가 어디에 저장되고 누가 액세스할 수 있는지(즉, RP, Apple 또는 Google)에 대한 불확실성 때문에 얼굴, 터치, PIN 또는 암호를 사용하여 모바일 기반 쇼핑 사이트에 로그인하는 것이 불편하다고 설명했습니다. 패스키 도입이 보편화됨에 따라 이러한 개인 정보 보호 및 보안 문제는 계정 생성 프로세스 외의 교육을 통해 해결할 수 있습니다.

  사이트에서 새 계정을 생성하려는 일부 사용자가 패스키 생성을 거부할 수 있음을 예상하십시오. 패스키 생성을 거부하는 사용자의 경우 패스키 생성이 다른 인증 모델로 정상적으로 대체되도록 허용합니다.

출시 전략

서비스 제공자는 처음에는 사용자가 계정 설정에서만 패스키를 생성할 수 있도록 하는 단계적 출시 전략을 선택할 수 있습니다. 그런 다음 요구 사항에 맞는 패스키 로그인 환경에 대한 데이터가 수집되면 계정 생성 시를 포함하여 패스키를 생성할 수 있는 위치 수를 확장할 수 있습니다.

생태계

• 패스키를 사용하려면 사용자 기기에 특정 하드웨어 또는 소프트웨어 지원이 필요할 수 있습니다. 사용자가 패스키 사용에 대한 호환성 요구 사항을 알고 있는지 확인하고 호환되는 기기 및 브라우저에 대한 안내를 제공합니다.
• 네이티브 모바일 앱 컨텍스트에서 패스키로 로그인하는 것은 수년 동안 존재해 온 생체 인식 로그인 환경과 다릅니다. 패스키로 로그인하려면 추가로 탭해야 합니다.

보안

DigitalBiz는 문제가 발생할 경우 이메일 OTP로 정상적으로 대체됩니다. 선택하는 정상적인 대체 옵션은 고유한 보안 및 비즈니스 목표와 일치해야 합니다. 고유한 보안 및 비즈니스 요구 사항에 따라 UX를 계획합니다. 이 지침은 동기화된 패스키를 사용하는 FIDO 고유의 UX 개념에 중점을 둡니다. 이 작업 전반에 걸쳐 다양한 형태의 신원 증명 및 FIDO 이외의 인증 예가 표시됩니다. 이 지침에서는 신원 증명 또는 기타 FIDO 이외의 인증 메커니즘에 대한 보안 지침을 규정하지 않습니다. 이러한 메커니즘은 각 신뢰 당사자(RP)에 고유하며 고유한 비즈니스 요구 사항 및 보안 정책을 기반으로 하기 때문입니다.