당신의 공유기에는 비밀번호가 두 개 있다. 그리고 거의 아무도 그 사실을 모른다.
하나는 와이파이 비밀번호다. 전화로 불러주고, 부엌 메모지에 적어두고, 수리하러 온 기사에게 읽어주는 그것. 다른 하나는 기기 자체의 관리자 비밀번호, 모든 설정을 건드리는 관리 화면을 여는 열쇠다. 두 번째는 거의 손대지 않는다. 당신이 바꾼 적이 없다면, 그건 지금도 기기 밑면 스티커에 인쇄돼 있는 바로 그 문자열이다.
둘은 지키는 것이 다르고 무너지는 방식도 다르다. 갈라놓고 볼 가치가 있다. “와이파이 비밀번호”를 둘러싼 20년치 대화가, 다른 여러 효용과 함께, 나머지 하나를 가려온 탓이다.
외우고 있는 쪽, 그리고 한 번도 본 적 없는 쪽
와이파이 비밀번호는 누가 네트워크에 접속할 수 있는지를 정한다. 입장권이다. 그것만 있으면 기기 하나가 당신의 로컬 네트워크에 들어와 나머지와 함께 지낸다.
관리자 비밀번호는 누가 네트워크의 작동 방식 자체를 바꿀 수 있는지를 정한다. 그 화면에서 네트워크 이름을, 암호화 방식을, 온 집안이 쓰는 DNS 서버를, 바깥으로 열린 포트를, 인터넷을 통해 공유기를 관리할 수 있는지 여부를 건드린다. 문 하나가 더 있는 게 아니다. 나머지 문들을 다시 설정하는 문이다.
여기에 불편한 비대칭이 있다. 누군가 와이파이 비밀번호를 갖고 있으면, 그 사람은 당신의 네트워크 안에 있다. 누군가 관리자 비밀번호를 갖고 있으면, 당신의 네트워크는 그 사람 것이다. 와이파이 비밀번호를 바꿀 수도, 암호화를 낮출 수도, 당신의 트래픽이 나가는 길을 다른 데로 돌릴 수도 있다. 그리고 당신은 알림이 아니라 증상으로 그것을 알게 된다.
이 대목에 대한 CISA의 권고에는 군더더기가 없다. 공유기 로그인 아이디와 비밀번호를 바꿀 것. 공장에서 딸려 나온 정보는 공개돼 있어서 누구든 찾아낼 수 있기 때문이다. 그리고 새 비밀번호는 길고, 무작위이고, 다른 데 쓰지 않은 것으로. 여기에 거의 모두가 모른 채 어기는 원칙 하나를 덧붙인다. 와이파이 비밀번호와 같아서는 안 된다. 서로 다른 것이고, 공유되는 방식이 아주 다르다 — 하나는 동네 절반이 알고, 다른 하나는 아무도 몰라야 한다.
2011 편해 보였던 버튼
공유기에는 거의 화제에 오르지 않는 세 번째 비밀이 있다. WPS PIN이다. 기기의 버튼으로, 그리고 스티커 위의 여덟 자리 숫자로 나타나는 간편 연결 방식.
2011년 12월, CERT/CC는 Stefan Viehböck의 연구를 바탕으로 취약점 노트 VU#723755를 공개했다. 그 PIN을 검증하는 방식의 설계상 약점에 관한 것이었다. 당신에게 중요한 건 기술적 세부가 아니라 공식 답변 쪽이다. 그 답은 15년이 지난 지금도 같다. 패치는 없었다. 스위치가 있었다. 권고는 — 그때도 지금도 — 설정으로 들어가 WPS를 끄라는 것이다. CISA는 오늘날 가정용 네트워크 안내서에서 같은 말을 되풀이한다. 원격 관리를 끄라고 적힌 바로 그 목록에서.
이 글에서 품이 가장 적게 드는 대목이 여기다. 한 번 체크를 풀면 다시는 신경 쓸 일이 없는 상자 두 개.
2015 공장 초기 키가 계산으로 나오던 시절
공장 초기 비밀번호는 당신의 비밀이 아니다. 제조사가 정한 값이고, 기기에 인쇄돼 있고, 설명서에 실려 있고, 흔히 같은 모델의 모든 개체에서 되풀이된다.
그리고 그보다 더 나쁜 사례들이 공개돼 있다. 공장 초기 키가 무작위조차 아니라 공유기 자신이 공중으로 내보내는 데이터로부터 계산되던 경우다. NIST의 목록에는 CVE-2015-0558이 있다. 고정된 문자열과 자신의 MAC 주소로 WPA 키를 생성하던 가정용 공유기에 관한 기록이다. 얼마 뒤 유럽에서 널리 쓰이던 케이블 모뎀에 대한 SEARCH-LAB의 공개 권고문은 그것을 한 문장으로 정리했다. “기본 SSID와 패스프레이즈는 오직 MAC 주소에서만 도출된다. 기기의 MAC 주소는 와이파이로 방송되므로, 기본 비밀번호는 쉽게 계산할 수 있다.” 해당 사업자는 결국 고객들에게 비밀번호를 바꿔달라는 편지를 보내야 했다.
그게 어떻게 이뤄졌는지 알 필요는 없다 — 여기서 설명할 생각도 없다 —. 남겨야 할 건 딱 하나다. 제조사가 생성할 수 있었던 키는, 다른 누군가도 재현할 수 있었다. 당신의 공장 초기 키는 길고 못생겼다는 이유로 무작위인 게 아니다. 절차에서 나왔기 때문에 못생긴 것이고, 절차는 연구된다.
평생 가장 쉽게 길게 만들 수 있는 비밀번호
이제 좋은 소식이다. 보안 조언 중에 공짜인 게 거의 없으니, 이건 드문 경우다.
당신 인생의 모든 비밀번호는 같은 적을 하나씩 달고 다닌다. 입력해야 한다는 것. 그것도 여러 번, 손으로, 휴대폰에서, 급하게. 그래서 사람들은 짧게 만들고, 그래서 “서른 자로 하세요”가 벌처럼 들린다.
와이파이 비밀번호에는 그 문제가 없다. 기기당 한 번 입력하면 다시 볼 일이 없다. 휴대폰도, 노트북도, TV도 영원히 기억해준다. 그리고 누군가에게 알려줘야 할 때는, 대부분의 휴대폰과 요즘 공유기 상당수가 QR 코드로 건네준다. 아무도 아무것도 입력하지 않는다.
즉, 길이는 사실상 공짜로 딸려온다. 그러니 짧게 쓸 핑계가 없다. 2004년부터 이걸 정의해온 IEEE 802.11i 표준은 최대 63자짜리 패스프레이즈를 허용한다. 그 절반에라도 닿는 사람이 거의 없다.
그럼 무엇으로 할까. CISA의 제안은 놀랄 만큼 구체적이라 그대로 따를 수 있다. 서로 관련 없는 다섯에서 일곱 개의 단어로 만든, 기억할 만한 패스프레이즈. 전부 합쳐 최소 열여섯 자. 그리고 다른 어떤 계정에도 쓰지 말 것. diceware의 논리를 집 거실에 적용한 것이다. 무작위 문자열로 하고 QR에게 일을 시키는 쪽이 좋다면 그게 더 낫다. 생성기에서 뽑아낸 뒤 다시 쳐다보지 않으면 된다. 지금 쓰는 것이 미덥지 않다면, 무엇을 정하기 전에 검사기에 한번 넣어보라.
2018 WPA3란 무엇이고, 왜 셈이 달라지는가
2018년 Wi-Fi Alliance가 WPA2의 후계로 WPA3를 내놓았다. 오늘날 Wi-Fi CERTIFIED 인증을 받으려는 모든 기기에 필수다.
밑바탕의 변화에는 SAE라는 볼품없는 이름이 붙어 있지만, 그 결과는 아주 이해하기 쉽다. WPA2에서는 근처에 있던 누군가가 당신의 휴대폰과 공유기가 주고받는 첫 인사를 잡아채서, 집으로 가져가, 그 파일을 상대로 초당 수백만 개의 키를 시험할 수 있었다. 시도 횟수 제한도 없고, 아무도 눈치채지 못한 채로. 이건 비밀번호 유출과 정확히 같은 문제다. 재료가 공격자의 디스크 위에 있을 때, 안 된다고 말해줄 사람이 반대편에 아무도 없다.
WPA3는 그걸 끊는다. Wi-Fi Alliance 자신의 말은 이렇다. “WPA3-Personal은 WPA2의 사전 공유 키(WPA2-PSK)를 Simultaneous Authentication of Equals(SAE)로 대체한다. WPA2-PSK와 달리 SAE는 오프라인 사전 공격에 내성이 있다.” 한 번 시도할 때마다 다시 공유기와 대화해야 하고, 실패가 수천 번 쌓이는 공유기는 그것을 알아차리고 속도를 늦출 수 있다.
그다음에는 같은 문서가 굳이 밝혀둔 정직한 부분이 있다. 그 내성은 *“비밀번호 보안의 부담이 더 이상 사용자에게 지워지지 않는다”*는 뜻이고, 대소문자 혼용과 특수문자를 요구하는 것은 SAE에서 더는 타당한 요건이 아니라는 것이다. 하지만 나쁜 걸 써도 된다는 허가는 아니다. 능동적 공격은 여전히 존재하고, 명세서는 에두르지 않고 못을 박는다 — SAE에 쓰는 비밀번호는 극도로 추측하기 어려워야 한다. NIST가 나머지 비밀번호 에 대해 몇 년째 해온 말과 같다. 길이가 비틀기를 이긴다.
실무적인 경고 둘. 공유기가 WPA3까지 못 간다면, CISA가 인정하는 건 WPA3 Personal과 AES를 쓰는 WPA2 둘뿐이다. 개방된 네트워크나 WEP, TKIP은 약한 비밀번호가 아니라 비밀번호가 없는 것이다. 그리고 전환 모드를 켜면 오래된 기기도 들어올 수 있도록 네트워크가 WPA3와 WPA2를 동시에 받아들인다. 2013년산 프린터가 있는 집에서는 합리적인 결정이지만, 그게 무엇인지는 알고 있어야 한다 — 켜져 있는 동안 당신의 네트워크에는 WPA2 문이 남아 있다. 가진 것 전부가 WPA3로 들어온다면 꺼라.
2024 법이 스티커 밑까지 손을 뻗다
수십 년 동안 이건 조언의 문제였다. 이제는 규제의 문제이기도 하다.
2024년 4월 29일, 영국에서 연결 제품 보안에 관한 법률인 PSTI 체제가 발효되면서 소비자용 연결 제품에서 공통 기본 비밀번호가 금지됐다. 한 제품의 모든 개체가 같은 키를 달고 출고되던 방식의 끝이다. 다만 이 법은 개체마다 고유한 기본 비밀번호는 허용한다. 공유기마다 다른 문자열이 찍힌 스티커가 바로 그 경우다. 유럽 연합에서는 무선기기지침의 사이버보안 요건 — 위임규정 (EU) 2022/30 — 이 2025년 8월 1일부터 의무 적용되고 있다.
여기서 두 가지가 따라 나오는데, 같은 얘기가 아니다. 첫째, 새 공유기는 공장에서 더 나은 상태로 나오게 된다. 둘째, 그리고 이쪽이 당신 몫이다. 그중 무엇도 이미 거실에 놓인 기기에 소급 적용되지 않는다. 그게 거기 6년째 있었다면, 당신 집에서는 아직 옛 규칙이 살아 있다.
게스트 네트워크, 혹은 비밀번호 불러주기를 그만두는 일
당신의 와이파이 비밀번호를 아는 사람이 몇이나 되는지 세어보라. 처남, 아이 봐주는 분, 2022년에 저녁 먹으러 왔다가 아직 휴대폰에 설정이 남아 있는 친구, 뭔가 설치하러 올라왔던 기사.
그들 중 누구도 인터넷으로 나갈 권한만 얻은 게 아니다. 기기 한 대가 당신의 로컬 네트워크 안에 들어와 있다. NAS 옆에, 프린터 옆에, 카메라 옆에. 그리고 그 기기가 어떤 상태인지 당신은 전혀 모른다.
답은 게스트 네트워크이고, 이미 갖고 있으면서 쓰지 않는 기능이다. CISA는 대놓고 적어놓았다. 공유기에 게스트 와이파이가 있으면 켜고, 자체 비밀번호 — 길고, 무작위이고, 다른 데 쓰지 않은 것 — 를 붙이고, 집 와이파이에 상시로 접속하지 않는 사람은 모두 그쪽을 쓰게 하라고. 그리고 거의 아무도 하지 않는 것을 덧붙인다. 연결되는 물건들도 그쪽으로 보내라. 스마트 플러그, TV, 로봇 청소기 — 인터넷만 나가면 되는 기계라면, 집 안의 다른 기기를 발견하지 못하도록.
이 블로그 전체를 관통하는 원칙을 거실에 적용한 것뿐이다. 장소마다 자격증명 하나. 당신의 주 와이파이가 한 장소다. 손님은 다른 장소다.
무엇을, 어떤 순서로
- 공유기 관리 화면에 들어가 관리자 비밀번호를 바꿔라. 이 목록에서 당신이 아마 한 번도 건드린 적 없는, 그리고 권한이 가장 큰 항목이다. 길고, 무작위이고, 와이파이 비밀번호와는 다른 것으로.
- 와이파이 비밀번호를 길게 하라. 관련 없는 다섯에서 일곱 단어, 또는 생성기에서 뽑은 문자열. 한 번만 입력하고 그다음엔 QR로 넘기면 된다.
- 공유기가 지원하면 WPA3로 올려라. 안 되면 AES를 쓰는 WPA2로.
- WPS와 원격 관리를 꺼라. 체크박스 두 개, 딱 한 번.
- 게스트 네트워크를 켜고 손님과 사물인터넷 기기를 그쪽으로 보내라.
- 펌웨어를 업데이트하고, 자동 업데이트가 있으면 켜둔 채로 두어라.
- 둘 중 어느 것도 다른 데 재사용하지 마라. 이미 쓰고 있는 것 가운데 미심쩍은 게 있다면 검사기에 넣어보라.
어느 것도 20분 넘게 걸리지 않고, 그 20분은 평생 한 번이면 된다.
공유기는 집에서 가장 중요한 기기이면서, 아무도 관리하지 않는 한 스스로를 관리하는 유일한 기기다. 몇 년째 구석에서 전원이 들어온 채로 불평 없이 제 일을 하고 있고, 바로 그래서 그것을 들여다볼 “지금”은 영영 오지 않는다.
공장 초기 비밀번호가 나쁜 건 짧아서도 못생겨서도 아니다. 당신 것이 아니어서다. 그건 다른 사람이 고른 것이고, 접착 라벨에 인쇄돼, 당신 집과 똑같은 수천 채의 집으로 실려 갔다. 그걸 바꾸는 일은 가정의 정보기기에서 이사할 때 자물쇠를 바꾸는 일에 가장 가까운 행위다.
출처: CISA, 「Project Upskill · Module 5: Securing Your Home Wi-Fi」, Joint Cyber Defense Collaborative — 공장 출고 정보가 공개돼 있을 수 있으므로 공유기 로그인 아이디와 비밀번호를 바꿀 것, 서로 관련 없는 다섯에서 일곱 단어로 합계 최소 열여섯 자인 패스프레이즈, 안전하다고 보는 암호화는 WPA3 Personal과 WPA2 AES뿐, WPS와 원격 관리 끄기, 사물인터넷 기기까지 포함한 게스트 와이파이 켜기 · Wi-Fi Alliance, 「WPA3 Security Considerations Overview」(2019년 4월), WPA2-PSK를 SAE로 대체하는 문제, 오프라인 사전 공격에 대한 내성, 그리고 비밀번호가 여전히 극도로 추측하기 어려워야 한다는 요건에 대하여 · CERT/CC 취약점 노트 VU#723755(2011년 12월 27일), 보고자 Stefan Viehböck, 권고된 해결책은 WPS 끄기 · NVD(NIST), CVE-2015-0558, 고정된 문자열과 MAC 주소로 WPA 키를 생성하던 가정용 공유기에 대하여 · SEARCH-LAB(Gergely Eberhardt)의 Ubee EVW3226 모뎀 공개 권고문, 2016년 7월 Full Disclosure 게재 · IEEE 802.11i, 패스프레이즈를 8자에서 63자로 정의 · 영국, Product Security and Telecommunications Infrastructure Act 체제, 2024년 4월 29일 발효 · 유럽연합, 무선기기지침의 위임규정 (EU) 2022/30, 2025년 8월 1일부터 의무 적용 · NIST SP 800-63B, 복잡성보다 길이에 대하여.
사진: Jakub Zerdzicki · Pexels