유료든 무료든, 오픈소스든 상용 소프트웨어든 비밀번호 관리자를 사용하는 궁극적인 목적은 하나입니다. 바로 수십 개에 달하는 비밀번호를 안전하게 보관하고 체계적으로 관리하는 것이죠.
하지만 편리함만큼이나 궁금해지는 부분이 있습니다. 과연 비밀번호 관리자는 믿고 사용해도 되는 만큼 안전할까요?
비밀번호 관리자가 필요한 이유
비밀번호는 인터넷을 사용하는 데 있어 빼놓을 수 없는 필수 요소입니다. 10년 전만 해도 몇 개의 비밀번호만 기억하면 충분했지만, 지금은 평균적인 사용자가 약 100개의 비밀번호를 사용하고 있습니다. 모두 외우는 것은 불가능에 가깝기 때문에 같은 비밀번호를 반복해서 쓰거나 종이에 적어두는 위험한 습관으로 이어지기 쉽습니다.
비밀번호 관리자는 이런 문제를 해결하기 위해 등장한 소프트웨어로, 비밀번호를 안전하게 저장하고 관리할 수 있게 도와줍니다. 단순히 암호화된 로그를 보관하는 수준부터, 강력한 비밀번호를 자동 생성하고 웹사이트와 앱에 로그인 정보를 자동 입력해주는 기능까지 다양합니다.
비밀번호 관리자의 가장 큰 장점은 편의성과 온라인 보안을 동시에 높여준다는 점입니다. 대부분의 온라인 데이터는 암호화로 보호되며, 그 암호화의 출발점이 바로 비밀번호입니다. 특히 2단계 인증(2FA)을 사용하지 않는 사이트가 많다면, 비밀번호가 곧 유일한 방어선이 되므로 최대한 강력하게 만들어야 합니다.
비밀번호 관리자는 어떻게 비밀번호를 지킬까?
비밀번호 관리자는 크게 두 가지 유형으로 나뉩니다. 하나는 기기 기반 방식으로, 로그인 정보를 사용자 기기에 직접 저장합니다. 다른 하나는 웹 기반 방식으로, 비밀번호를 회사 서버에 보관하여 여러 기기 간 동기화가 가능합니다.
어떤 방식이든 암호화된 로그인 정보에 접근하려면 반드시 마스터 비밀번호가 필요합니다. 다만 웹 기반 서비스를 선택할 때는 회사 서버에 비밀번호가 암호화되지 않은 상태로 저장되지 않는지 반드시 확인해야 합니다.
예를 들어 LastPass는 '제로 지식(Zero-Knowledge)' 정책과 종단간 암호화를 채택하고 있습니다. 비밀번호가 기기를 떠나기 전에 먼저 암호화되며, 복호화 역시 오직 사용자 기기에서만 이루어집니다.
이러한 구조 덕분에 악의적인 해커는 물론 회사 내부 직원조차 사용자의 비밀번호에 접근하기 어렵습니다.
또한 비밀번호 관리자는 온라인 보안의 핵심 습관인 '정기적인 비밀번호 변경'을 그 어느 때보다 쉽게 실천할 수 있게 해줍니다. 모든 비밀번호를 일일이 외울 필요가 없으므로, 3개월에 한 번쯤 자리에 앉아 체계적으로 전부 교체하면 됩니다.
비밀번호 관리자 앱은 안전한가?
무료 비밀번호 관리자를 사용하려 한다면 스스로에게 가장 중요한 질문을 던져야 합니다. "이 회사를 신뢰할 수 있는가?" 기업은 결국 돈을 벌어야 하고, 구독료가 아니라면 다른 방식으로 수익을 창출할 테니까요.
LastPass는 무료 요금제를 제공합니다. 비밀번호 무제한 저장, 자동 저장·입력, 비밀번호 생성기, 2단계 인증까지 포함된 꽤 후한 구성입니다. 하지만 무료치고 너무 좋아서 의심스럽지 않을까요?
당연히 무료 계정은 유료 계정과 동일한 혜택을 누릴 수 없습니다. LastPass의 경우 기술 지원과 서버 가동률을 감안해야 합니다. 비밀번호가 사용자 기기가 아닌 회사 서버에 저장되기 때문에, 서버에 장애가 발생하면 일시적으로 로그인 정보에 접근하지 못할 수도 있습니다. 또한 무료 계정은 기본적인 지원 기능만 제공하므로, 긴급 상황에서 비밀번호를 복구하기가 더 어려울 수 있습니다.
그럼에도 LastPass는 비밀번호 관리 분야에서 가장 안전한 업체 중 하나로 꼽힙니다. 다만 '보안'과 '프라이버시'는 별개의 문제입니다. LastPass의 모회사인 LogMeIn은 사용자의 보안을 중시하지만, 프라이버시에 대해서는 상대적으로 관대한 편입니다.
LogMeIn의 개인정보 처리방침에 따르면, 이름이나 연락처처럼 개인을 식별할 수 있는 정보는 철저히 보호됩니다.
하지만 행동 데이터는 사정이 다릅니다. IP 주소, LastPass에서 가장 많이 접속한 사이트, 하드웨어 사양, 위치, 심지어 언어 설정까지 기록하며, 이를 제휴된 제3의 업체와 공유해 사용자 분석과 맞춤형 광고에 활용합니다.
참고로 LastPass는 2022년 여러 차례 보안 사고를 겪으며 신뢰에 타격을 입었고, 이후 많은 사용자가 다른 서비스로 이동했습니다. 이는 어떤 서비스를 선택하든 회사의 보안 이력을 반드시 확인해야 하는 이유를 잘 보여줍니다.
업체마다 정책은 저마다 다릅니다. 무료든 유료든 계정을 만들기 전에 해당 회사의 개인정보 처리방침과 보안 취약점·사고 이력을 꼼꼼히 살펴보세요. 정답은 하나가 아니지만, 소중한 비밀번호와 데이터를 맡길 회사가 나와 같은 가치관을 공유하는지는 반드시 확인할 수 있습니다.
안전한 비밀번호 관리자를 가려내는 방법
다른 앱이나 소프트웨어와 마찬가지로, 비밀번호 관리자의 안전성은 이를 운영하는 회사가 얼마나 사용자를 아끼는지에 달려 있습니다. 비밀번호 관리자를 고르기 전에 다음 질문들을 스스로에게 던져보세요.
다른 사람이 내 비밀번호를 볼 수 있을까?
보안과 프라이버시를 모두 지키려면 제로 지식 정책과 종단간 암호화를 채택한 비밀번호 관리자를 선택하세요. 이렇게 하면 데이터는 저장 중이나 전송 중에는 암호화된 상태를 유지하고, 실제 사용할 때만 복호화됩니다.
데이터가 로컬에 저장되는가, 회사 서버에 저장되는가?
일부 비밀번호 관리자는 비밀번호를 기기에만 저장합니다. 이 경우 기기 간 동기화가 번거롭고 보안 책임도 전적으로 사용자에게 있지만, 회사 서버보다 해킹 표적이 될 가능성은 낮아집니다.
충분히 깨끗한 보안 기록을 갖고 있을까?
오랫동안 운영된 IT 기업이라면 적어도 한 번쯤은 보안 사고나 데이터 유출을 겪기 마련입니다. 가입 전에 해당 회사를 검색해 최근 보안 사고와 취약점 이력을 확인하고, 사고가 잦고 심각하다면 다른 서비스를 찾아보세요.
2단계 인증(2FA)을 지원하는가?
비밀번호 관리자는 모든 비밀번호를 한곳에 모아둡니다. 따라서 마스터 비밀번호 외에 두 번째 방어선을 추가하는 것이 매우 중요합니다. 2FA 기술은 이미 널리 보급되어 있어 대부분의 앱에서 활성화할 수 있습니다.
만약 어떤 비밀번호 관리자가 2FA조차 지원하지 않는다면, 사용자 데이터 보안에 진지하지 않다고 판단해도 좋습니다.
결론: 비밀번호 관리자 앱은 얼마나 안전한가?
비밀번호 관리자는 아무것도 사용하지 않는 것보다 분명히 안전합니다. 다만 그 안전성이 본인의 기준에 부합하는지는 결국 스스로 판단할 문제입니다.
중요한 것은 모든 비밀번호 관리자가 똑같이 안전한 것은 아니라는 점입니다. 어떤 제품은 가격을, 어떤 제품은 편의성을, 또 어떤 제품은 보안을 우선시합니다. 자신에게 가장 중요한 가치가 무엇인지 먼저 명확히 하고, 그에 맞는 서비스를 선택하는 것이 현명한 방법입니다.