요즘 세상 흐름에 뒤처져 살지 않는 이상, 보안 전문가들이 비밀번호 관리자(패스워드 매니저) 사용을 권장한다는 말을 한 번쯤 들어보셨을 것입니다. 그 이유는 간단합니다. 대부분의 사람들이 약한 비밀번호를 사용하거나 여러 사이트에서 같은 비밀번호를 재사용하기 때문입니다. 이는 해커들의 공격에 쉽게 노출되는 치명적인 취약점이 됩니다. 하지만 모든 웹사이트마다 강력하고 고유한 비밀번호를 만들고, 필요할 때마다 기억해내는 것이 과연 가능할까요? 바로 이럴 때 비밀번호 관리자가 빛을 발합니다.
비밀번호 관리 소프트웨어는 두 가지 문제를 동시에 해결해 줍니다. 강력한 비밀번호를 자동으로 생성하고, 이를 한곳에 안전하게 보관해 주기 때문에 일일이 외울 필요가 없습니다. 전문가들은 비밀번호 관리자를 브라우저 안에서 '문지기'처럼 작동하는 도구라고 표현합니다. 어떻게냐고요? 특정 웹사이트에 접속하면 저장된 비밀번호를 대신 입력해 주는 것입니다. 사용자는 마스터 비밀번호 하나만 기억하면 나머지는 알아서 처리됩니다. 시중에는 다양한 업체의 제품이 출시되어 있으니 선택의 폭도 넓습니다.
함께 읽으면 좋은 글: 윈도우용 최고의 비밀번호 관리 소프트웨어 10선
비밀번호 관리자의 종류는 몇 가지?
개발자들은 데이터를 어디에 저장하는지, 어떻게 보호하는지, 계정 정보 저장·조회를 위한 어떤 부가 기능을 제공할지에 따라 각기 다른 방식으로 비밀번호 관리 프로그램을 만들어 왔습니다. 현재 사용할 수 있는 유형은 크게 다음과 같습니다.
1. 다른 소프트웨어에 포함된 부가 기능형
운영체제(OS), 브라우저, 기타 애플리케이션에 추가 기능 형태로 포함되는 경우가 많습니다. 다만 무료로 제공되는 이런 관리자는 100% 확신이 들 때만 사용하는 것이 좋습니다. 잘못된 선택으로 모든 비밀번호가 유출되는 불상사를 원하지는 않으시겠죠?
2. 독립형(Standalone)
가장 먼저 등장한 형태로, 오직 비밀번호를 저장하고 보호하는 역할만 수행합니다. KeePass와 Aurora가 대표적인 예입니다. 단, 이 유형은 본인 외에 아무도 해당 기기를 사용하지 않을 때만 신뢰할 수 있다는 점을 유의하세요.
3. 웹 기반(Web-Based)
비밀번호 보호를 위해 가장 최근에 등장한 유형으로, 안정적인 인터넷 연결만 있다면 어떤 기기에서든 사용할 수 있습니다. RoboForm과 PasswordSafe가 대표적입니다.
이제 종류를 파악했으니 어렴풋이 마음에 드는 제품이 생겼을 수도 있습니다. 그렇다면 기존에 쓰던 비밀번호들은 어떻게 옮겨야 할까요?
비밀번호는 어떻게 관리자로 옮겨야 할까?
충분히 조사해서 자신에게 맞는 최적의 프로그램을 찾았다면, 이제 모든 비밀번호를 등록해 머릿속 짐을 내려놓아야 합니다. 방법은 크게 세 가지입니다.
1. 수동 입력
가장 번거로운 방법이지만, 웹사이트별 비밀번호를 직접 입력하는 방식입니다. 시간이 걸리는 건 사실이지만, 입력한 모든 비밀번호가 정확하다는 확신을 얻을 수 있다는 장점이 있습니다.
2. 가져오기/내보내기(Import/Export)
일부 비밀번호 관리자는 브라우저에서 직접 비밀번호를 가져오거나 내보내는 기능을 지원합니다. 가장 손쉽게 시작할 수 있는 방법입니다. 맥(Mac) 사용자라면 Apple의 키체인(Keychain) 앱을 활용할 수도 있습니다. 다만 모든 관리자가 이 기능을 제공하는 것은 아니므로 구매 전에 반드시 확인하세요.
3. 브라우징 과정에서 저장
비밀번호 관리자의 능력을 의심하며 모든 비밀번호를 맡기기 꺼려지는 분이라면 이 방법이 적합합니다. 웹사이트를 방문해 로그인할 때마다 관리자가 팝업으로 떠서 해당 비밀번호를 저장할지 묻습니다. 원하는 대로 수락하거나 거부하면 됩니다! 단, 항상 로그인 상태로 유지되는 계정이 있다면 비밀번호를 등록하려면 로그아웃 후 다시 로그인해야 합니다.
위 세 가지가 가장 신뢰할 수 있는 전송 방식입니다. 또 다른 방법을 알고 계신다면 댓글로 공유해 주세요!
그런데 전문가들이 이토록 권장하는데도 사람들이 이 소프트웨어를 완전히 신뢰하지 못하는 데에는 이유가 있습니다.
비밀번호 관리자를 의심하는 이유
비밀번호 관리자가 매우 편리하다는 사실은 부정할 수 없지만, 잠재적인 보안 위험도 결코 가볍지 않습니다. 관리자는 브라우저 확장 프로그램 형태로 시스템에 설치되는데, 악성코드가 가득한 웹사이트에 접속하면 CSRF(교차 사이트 요청 위조)나 XSS(교차 사이트 스크립팅) 공격에 노출될 수 있습니다. 공격에 성공하면 해커에게 모든 비밀번호가 순식간에 넘어가고, 그동안 경험하지 못한 수준의 위험에 처하게 됩니다. 어떻게 이런 일이 가능할까요? 비밀번호 관리자는 주로 자동 완료(auto-fill) 기능으로 저장된 로그인 정보를 폼에 자동으로 채워 줍니다. 이 기능이 등장하자마자 해커들은 자동 완료 기능을 추적하는 스크립트를 만들어 번거로움 없이 인증 정보를 탈취하려 시도했습니다.
가장 심각한 문제는 비밀번호가 한번 탈취되면 되찾을 방법이 없다는 점입니다. 물론 인증 정보를 새로 설정하는 방법이 있지만, 이는 공격 사실을 인지하고 있을 때만 가능하다는 점이 문제입니다!
함께 읽으면 좋은 글: ZIP 파일 비밀번호 복구에 유용한 최고의 도구들
결론
"그래서 비밀번호 관리자를 써야 할까?"라는 질문에 대한 답은 분명히 '예'입니다. 단, 반드시 안전하게 검증된 제품을 사용해야 합니다. 정기적으로 업데이트되는 비밀번호 관리자를 사용하고 있다면 안심해도 좋습니다. 무차별 대입(brute force) 공격을 충분히 막아낼 만큼 견고하기 때문에, 추가적인 보안 계층 역할을 해주기 때문입니다.
다만 비밀번호 관리자는 신중하게 선택해야 합니다. 잘못 선택하면 오히려 개인정보 유출의 원인이 될 수 있습니다. 무료 비밀번호 관리자의 함정에도 빠지지 마세요. 대부분 단순한 사기일 가능성이 높습니다. 지금까지 비밀번호 관리자에 관한 핵심 정보를 모두 담았습니다. 빠진 내용이 있다면 아래 댓글로 알려주세요!