어떤 브라우저를 사용하든 "이 사이트의 비밀번호를 저장하시겠습니까?"라는 팝업을 한 번쯤은 본 적이 있을 것입니다. 여러 개의 비밀번호를 기억하기 어렵거나 매번 조합을 잊어버리는 분들에게 브라우저 기반 비밀번호 관리자는 시간을 절약해 주는 편리한 기능입니다. 크롬(Chrome), 파이어폭스(Firefox), 오페라(Opera) 등 대부분의 주요 브라우저에는 비밀번호 관리자가 기본으로 탑재되어 있습니다. 하지만 문제는 이것이 얼마나 신뢰할 수 있는가에 있습니다.
브라우저 비밀번호 관리자는 안전한가?
편리하고 시간을 절약해 주는 만큼, 브라우저 비밀번호 관리자는 특히 브라우저가 해킹당하는 상황에서 잘못된 안전감을 심어줄 수 있습니다. 주요 웹 브라우저들의 보안 수준이 어떠한지 하나씩 살펴보겠습니다.
파이어폭스(Firefox)
파이어폭스에서 웹사이트에 비밀번호를 입력하면, 브라우저가 해당 비밀번호를 저장할 것인지 묻습니다. 저장하면 파이어폭스는 기기에 비밀번호를 보관하며, 설정 창에서 저장된 비밀번호를 확인할 수 있습니다. 이후 해당 사이트를 다시 방문하면 저장된 비밀번호가 자동으로 입력됩니다.
기본적으로 파이어폭스는 비밀번호를 보호되지 않은 형태로 컴퓨터에 저장하지만, 설정 창에서 '마스터 비밀번호'를 활성화할 수 있습니다.
마스터 비밀번호를 설정하면 저장된 모든 비밀번호가 해당 마스터 비밀번호로 암호화되며, 비밀번호 관리자를 사용할 때마다 입력해야 합니다. 덕분에 파이어폭스를 종료한 상태에서 누군가 컴퓨터에 접근하더라도 비밀번호를 열람할 수 없습니다.
또한 Firefox Sync를 통해 비밀번호를 동기화할 수 있으며, 동기화 전에 암호화되기 때문에 온라인 백업과 기기 간 동기화도 안전하게 수행됩니다.
마스터 비밀번호 기능 덕분에 파이어폭스의 비밀번호 관리자는 주요 브라우저 중 가장 안전한 편입니다. 단점은 iOS 등 일부 모바일 플랫폼에서는 파이어폭스에 저장된 비밀번호에 접근할 수 없다는 점입니다.
오페라(Opera)
오페라는 한때 자사 시스템이 해킹 공격을 당한 적이 있습니다. 해커들은 사용자의 비밀번호와 계정 정보를 포함한 개인 정보 일부에 접근했던 것으로 추정됩니다.
공격 대상은 여러 기기에서 비밀번호를 동기화해 주는 Opera Sync 서비스였습니다. 예를 들어 데스크톱의 Safari, Chrome 또는 Opera에 트위터 비밀번호를 저장했다면, 로그인만 되어 있다면 모바일 기기에서도 해당 비밀번호를 그대로 사용할 수 있었던 것입니다.
결국 오페라는 모든 Opera Sync 계정 비밀번호를 초기화해야 했고, 예방 차원에서 사용자들에게 브라우저 계정과 서드파티 사이트의 비밀번호까지 재설정할 것을 요청했습니다.
이 사건은 브라우저 비밀번호 관리자가 얼마나 위험할 수 있는지를 보여주는 뼈아픈 사례입니다. 오페라에서 벌어진 일이라면 다른 브라우저에서도 충분히 일어날 수 있습니다.
더 심각한 것은, 업체들이 비밀번호가 항상 암호화된다고 주장하지만 실제로 얼마나 안전한지 명확히 알기 어렵다는 점입니다.
크롬(Chrome)
브라우저는 비밀번호를 지키기 위해 노력하지만, 이 기능의 목적은 근본적으로 편의성이지 보안이 아닙니다. 따라서 보안은 어쩌면 두 번째 우선순위일 수밖에 없습니다.
그렇다고 브라우저 업체들이 방치하고 있는 것은 아닙니다.
최근 구글은 Smart Lock의 일환으로 크롬이 보관하는 비밀번호를 중앙에서 관리할 수 있는 플랫폼인 passwords.google.com을 선보였습니다. 이 사이트는 2단계 인증(2FA)으로 보호되어 실제 계정 소유자만 접근할 수 있습니다.
또 하나의 기능은 크롬의 개선된 비밀번호 관리자입니다. 처음 가입하는 웹사이트에서 무작위 비밀번호를 자동 생성해 제안합니다.
생성된 비밀번호는 구글 계정에 안전하게 저장되며, 크롬 모바일과 데스크톱 버전 간에 동기화됩니다. 덕분에 사용자가 매 사이트마다 비슷한 비밀번호를 반복해서 쓰는 습관을 막을 수 있고, 사이트가 유출되더라도 겪게 될 고통을 줄여줍니다.
하지만 이런 개선에도 불구하고, 별도의 전문 비밀번호 관리 프로그램을 사용하는 것이 여전히 더 나은 선택일 수 있습니다.
사파리(Safari)
사파리 역시 내장 비밀번호 관리자를 갖추고 있으며, 새 로그인 시 웹사이트 비밀번호를 자동으로 입력해 줍니다.
연락처와 신용카드 정보도 저장할 수 있고, iCloud 키체인(iCloud Keychain)을 사용 중이라면 이 정보를 암호화된 형태로 기기 간에 동기화합니다.
사파리 내장 비밀번호 관리자의 한계 중 하나는 Apple 기기에서만 접근 가능하다는 점입니다. 기기를 도난당하거나 분실하면 새 기기를 구할 때까지 비밀번호에 전혀 접근할 수 없게 됩니다.
반면, 브라우저가 강력하고 고유한 비밀번호를 자동 생성·저장해 준다는 장점은 있습니다.
사파리가 비밀번호를 저장하면 Apple 기기 전반에서 자동 입력됩니다. 환경설정 메뉴에서 중복으로 사용한 비밀번호를 확인하고 손쉽게 변경할 수도 있습니다.
단점은 2단계 인증이 없다는 것이며, 서드파티 비밀번호 관리자만큼 견고하지 못하다는 점입니다.
안전을 지키고 방어력을 높이는 방법
전용 비밀번호 관리자 사용
브라우저 기반 비밀번호 관리자는 강력한 비밀번호 생성을 필수로 요구하지 않아, 그 가치에 한계가 있습니다. Dashlane, LastPass 같은 좋은 비밀번호 관리자는 더 강력하고 안전한 비밀번호를 만들고 보관하도록 도와줍니다.
편의성과 보안 사이에서 선택해야 한다면, 이 정도의 타협은 충분히 합리적입니다. 전용 비밀번호 관리자가 브라우저 제공 기능보다 더 나은 이유입니다.
2단계 인증(Two-Factor Authentication)
구글, 은행 서비스, 소셜 네트워크 등 대부분의 서비스는 추가 보호 계층을 제공합니다. 휴대폰으로 받는 SMS 인증 코드가 대표적이며, YubiKey나 Google Authenticator 같은 하드웨어·앱 기반 인증 도구를 활용할 수도 있습니다.
그 외에도 다음과 같은 방법으로 안전을 지킬 수 있습니다:
- 중요한 보안 패치를 받을 수 있도록 기기 소프트웨어를 항상 최신 상태로 유지하세요.
- Apple, Microsoft, Google 등 공식 운영체제 제공사나 제조사의 공식 스토어 외 출처에서는 소프트웨어를 설치하지 마세요.
- 비밀번호 관리자에 소중한 기밀 정보를 보관하지 마세요.
- 사이트마다 서로 다른 강력한 비밀번호를 사용하고, 비밀번호 재사용을 피하세요.
- 유효한 SSL 인증서를 갖춘 사이트에만 회원가입하세요.
- 보안 업데이트가 배포될 때마다 브라우저를 정기적으로 업데이트하세요.
- 브라우저 확장 프로그램은 설치 전에 반드시 조사하세요.
- 자동 완성(Auto-fill) 기능은 사용하지 않는 것이 좋습니다.
- 모든 기기에 강력한 백신·안티멀웨어 소프트웨어를 설치하고 정기 검사를 예약하세요.
- 공용 Wi-Fi 환경에서는 웹사이트에 로그인하지 마세요.
결론
모든 주요 브라우저에는 비밀번호 관리자가 내장되어 있습니다. 편의성과 시간 절약 측면에서는 나쁘지 않지만, 모든 비밀번호를 안전하게 관리하기에는 역부족입니다.
비밀번호 관리자 유출 사고를 당해 본 경험이 있으신가요? 아니면 브라우저 비밀번호 관리자를 사용하고 계신가요? 아래 댓글로 경험을 공유해 주세요.
이미지 출처: Mozilla, Apple