비밀번호 관리자

우리가 사는 집, 사물함, 자동차마다 열쇠 모양이 전부 다르면 주머니에 넣고 다니기 벅차요. 그렇다고 모든 문을 똑같은 열쇠 하나로 열리게 만들면, 그 열쇠를 하나만 잃어버려도 모든 문이 다 털리는 끔찍한 일이 생겨요.

인터넷 세상에서도 똑같은 일이 벌어져요. 사람들은 기억하기 귀찮아서 모든 사이트에 같은 비밀번호를 쓰거나 쉬운 단어를 조합하곤 해요. 하지만 한 사이트가 해킹당하면 공격자는 그 비밀번호로 피해자의 다른 모든 계정에 접속하는 크리덴셜 스터핑(계정 정보 대입 공격)을 시도해요.

비밀번호 관리자는 이 골치 아픈 문제를 깔끔하게 해결해 줘요. 사이트마다 사람이 외우기 힘든 무작위 암호를 대신 만들어 안전하게 보관하고, 로그인할 때 알아서 빈칸을 채워줘요. 사용자는 오직 이 금고를 여는 단 하나의 마스터 비밀번호만 기억하면 돼요.

비밀번호 관리자는 저장된 모든 정보를 강력한 암호 기술로 꽁꽁 얼려둬요. 이 금고는 오직 사용자가 입력한 마스터 비밀번호로만 풀 수 있는 수학적 자물쇠로 단단히 잠겨 있어요.

조금 더 정확히 말하면, 영지식 구조를 채택한 비밀번호 관리자라면 서비스를 만드는 회사조차 여러분의 금고 안에 무엇이 들었는지 들여다볼 수 없어요. 이를 영지식(Zero-Knowledge) 설계라고 불러요. 데이터가 서버로 전송되기 전에 여러분의 스마트폰이나 컴퓨터 안에서 먼저 암호화되기 때문이에요.

설령 해커가 비밀번호 관리자 회사의 중앙 서버를 통째로 털어가더라도, 손에 쥐는 것은 대부분 외계어처럼 뒤섞인 암호 덩어리예요. 다만 서비스에 따라 사이트 주소 같은 일부 정보는 암호화되지 않을 수 있어요. 또 해커는 훔친 금고에 시간 제한 없이 비밀번호를 대입해 볼 수 있으므로, 마스터 비밀번호가 충분히 길고 강력해야 현실적인 시간 안에 풀기 어려워요.

비밀번호 관리자를 쓸 때 가장 중요한 규칙은 마스터 비밀번호를 절대 잊어버리지 않는 거예요. 운영 회사도 마스터 비밀번호를 대신 알려줄 수 없어요. 서비스가 복구 코드나 비상 접근 같은 복구 수단을 제공한다면 미리 설정해 두세요. 아무 복구 수단도 없는 상태에서 마스터 비밀번호를 잊으면 금고를 영영 열지 못할 수 있어요.

그래서 마스터 비밀번호는 외우기 쉬우면서도 긴 문구로 만드는 것이 좋아요. 예를 들어 서로 관련 없는 단어 여러 개를 무작위로 이어 붙인 긴 문구를 쓰면 남들은 추측하기 어렵고 나는 외우기 쉬운 강력한 방패가 돼요. 노래 가사나 명언처럼 널리 알려진 문장은 해커의 대입 목록에 들어 있을 수 있어 피하는 게 좋아요.

여기에 OTP 앱의 일회용 인증 코드나 보안 키를 함께 쓰는 2단계 인증(2FA)을 금고 문에 걸어두면 보안이 한층 강화돼요. 스마트폰 지문 인식은 이와 달리 기기 안에서 마스터 비밀번호 입력을 대신해 주는 편리한 잠금 해제 수단이에요. 또한 비밀번호 관리자는 도메인 주소를 판별해 가짜 사이트에서는 아이디와 비밀번호를 자동으로 채우지 않으므로, 피싱(가짜 사이트 사기)을 알아차리는 데 도움을 줘요. 자동 입력이 되지 않는다면 접속한 주소가 진짜 사이트와 다르다는 신호일 수 있어요.