원문 캡처 · dennysora.me
원문 캡처 · dennysora.me

웹사이트마다 다른 비밀번호를 만들고 기억하기 어렵다면 비밀번호 관리자를 이용할 수 있다. 글은 무료 요금제와 여러 기기 지원, 셀프 호스팅을 중시하는 사람에게 Bitwarden을, 구독료를 낼 수 있고 통합된 사용 경험과 추가 보호 수단을 원하는 사람에게 1Password를 추천한다. 두 제품 모두 클라우드에 평문 비밀번호를 그대로 저장하는 방식은 아니지만, 기기가 감염되거나 복구 수단을 잃는 상황까지 막아 주지는 않는다.

비밀번호를 여러 사이트에서 재사용하면 한 곳에서 유출된 계정 정보로 다른 사이트에 로그인을 시도하는 ‘크리덴셜 스터핑’ 공격에 노출될 수 있다. 비밀번호 관리자는 사이트마다 무작위 비밀번호를 만들고 저장해 이 위험을 줄인다. 다만 피싱 사이트나 감염된 기기에서 비밀번호를 입력하면 탈취될 수 있으므로 OTP나 FIDO2를 대신하지는 않는다.

비밀번호 관리자의 데이터는 기기에서 암호화·복호화되고 서버에는 암호문이 저장되는 구조가 일반적이다. Bitwarden은 공개된 소스 코드와 셀프 호스팅 선택지를 제공하지만, 직접 운영하면 업데이트와 백업, 모니터링, 재해 복구도 직접 맡아야 한다. 1Password는 계정 비밀번호와 기기에서 생성되는 Secret Key를 함께 사용해 서버 데이터만 유출된 상황에서 추가 장벽을 둔다. Secret Key는 복구 자료와 함께 안전하게 보관해야 한다. 어느 쪽이든 강하고 고유한 마스터 비밀번호가 중요하다. 글은 2022년 백업 유출 뒤 약한 마스터 비밀번호에 대한 장기적인 공격 위험이 남을 수 있다는 이유로 LastPass를 첫 선택지로 권하지 않는다. 이는 모든 사용자의 비밀번호가 평문으로 유출됐다는 뜻은 아니다.

실제 사용에서는 이메일·클라우드·금융 계정부터 사이트별 고유 비밀번호로 바꾸고, 금고 로그인에는 가능한 경우 FIDO2 보안 키를 설정하는 것이 좋다. 그렇지 않다면 별도 휴대전화의 TOTP를 고려한다. 비밀번호와 TOTP 비밀값을 같은 금고에 넣으면 금고 전체가 노출될 때 둘 다 위험해질 수 있다. 중요한 계정에는 별도 보안 키를 고려하고, 분실에 대비해 예비 키나 오프라인 복구 코드를 준비한다. 복구 정보가 금고 안에만 있으면 금고에 로그인할 수 없을 때 복구도 막히는 순환 문제가 생긴다.

자동 완성은 클립보드에 비밀번호를 복사하는 일을 줄여 주지만, 악성 앱이나 가짜 로그인 화면에 정보를 입력하면 안전하지 않다. 브라우저 확장 프로그램의 자동 완성은 저장된 주소와 현재 주소를 비교하므로 민감한 사이트에서는 Host 또는 Exact 일치 설정을 고려하고, 페이지가 열릴 때 자동으로 채우기보다 주소를 확인한 뒤 직접 실행하는 편이 낫다. 모바일 자동 완성은 운영체제 기능에 의존하며 데스크톱 브라우저와 같은 수준으로 URL을 세밀하게 비교하지 않을 수 있다.

백업은 복구 수단과 분리해 보관하고 실제 복구가 가능한지 확인해야 한다. Bitwarden의 비밀번호 보호 암호화 JSON 내보내기를 고려할 수 있지만, 첨부 파일은 별도로 다뤄야 한다. 일반 ZIP 파일은 확장자만으로 암호화된 백업이 되지 않는다. 시스템을 최신 상태로 유지하고, 신뢰할 수 없는 공용 기기에서는 금고를 잠금 해제하지 않는 것도 권고한다.

제품 기능과 설정 이름은 사용 중인 버전에 따라 달라질 수 있으며, 글의 도식은 단순화한 위험 설명이지 제품 보안 감사를 마쳤다는 증거는 아니다.