화면 아래에 뜨는 그 작은 창에서 한 번이라도 「비밀번호 저장」을 눌렀다면, 당신은 이미 비밀번호 관리자를 쓰고 있다. 아무도 알려주지 않았고, 고른 적도 없는데, 그래도 하나 가지고 있다. 아마 백 개쯤 들어 있는 채로.
비밀번호에 관해 가장 많이 반복되는 질문이 「좋은 걸 어떻게 만드나」가 아니라 「내 것은 어디 있나」인 이유가 여기 있다. 사람들이 찾는 것은 보안 안내서가 아니다. 존재한다는 것은 아는데 찾지 못하는 목록이다.
목록은 있다. 그러나 그것이 어디에 저장되어 있는지는, 거의 아무도 하지 않는 다음 질문의 답보다 훨씬 덜 중요하다. 그것을 여는 데 무엇이 필요한가?
무엇을 쓰느냐에 따른 위치
크롬에서는 구글 비밀번호 관리자 안에 있다. 두 곳에 동시에 산다. 컴퓨터 안의
사본과 구글 계정 안의 사본이 동기화된다. passwords.google.com이나 브라우저
설정에서 볼 수 있다.
사파리, 아이폰, 맥에서는 iCloud 키체인 안에 있다. 얼마 전부터는 「암호」라는 자체 앱도 생겼다. 같은 생각이다. 기기 안과 애플 계정 안.
파이어폭스에서는 프로필 안의 두 파일에 있고, 그 이름은 알아둘 만하다.
암호화된 사용자 이름과 비밀번호가 든 logins.json, 그리고 그것을 푸는 키가 든
key4.db다. 모질라가 정확히 그렇게, 그 이름으로 문서화해 두었다.
엣지에서는 마이크로소프트 계정 안에, 크롬과 같은 구조로 있다. 안드로이드 에서는 휴대폰 설정에서 열더라도 크롬이 쓰는 것과 같은 구글 관리자다.
여기까지가 당신이 찾던 답이다. 이제 뭔가를 바꾸는 부분이다.
세 가지 모델, 그리고 그것들이 같지 않은 이유
셋 다 「당신의 비밀번호는 암호화되어 있습니다」라고 말한다. 세 경우 모두 사실이고, 어느 하나도 같은 뜻이 아니다. 달라지는 것은 키를 누가 쥐고 있느냐이기 때문이다.
애플의 키체인은 종단 간 암호화되어 있다. 그것을 여는 키를 애플은 모른다. 키는 당신의 신뢰된 기기 안에만 존재한다. 애플은 이를 보안 문서로 공개하면서 고마운 세부 하나를 덧붙인다. 시스템이 시도 횟수를 제한한다는 것이다. 자기 인프라 안에서 조차 무작정 대입해 볼 수 없게 하기 위해서다. 켤 것이 없다. 이미 그렇게 되어 있다.
구글에는 그 방식이 있지만 선택 사항이다. 기본값에서 당신의 비밀번호는 암호화되어 오가고 암호화되어 저장되지만, 키를 관리하는 것은 구글이다. 바꿀 수 있다. 동기화 암호 —또는 어디로 들어가느냐에 따라 기기 내 암호화— 를 설정하면 키는 오직 당신 손에만 남는다. 실질적인 차이는 엄청난데 대부분의 사람은 한 번도 켜본 적이 없다. 그런 게 있다고 아무도 설명해 주지 않았기 때문이다. 대가가 있고, 그 대가는 통째로 말해야 한다. 그 암호를 잊으면 저장된 비밀번호는 아무도 되찾아 주지 못한다. 그것이 바로 「당신만」이라는 말의 뜻이다.
파이어폭스에서는 기본 비밀번호가 없으면 암호화가 당신의 파일을 가진 사람으로부터
당신을 지켜주지 않는다. 이 글에서 가장 불편한 대목이고, 그렇게 말하는 것은
우리가 아니라 모질라다. 기본 비밀번호를 설정하지 않으면, 프로필에서
logins.json과 key4.db를 복사한 사람은 누구든 당신의 자격 증명을 읽을 수 있다.
두 파일은 함께 다닌다. 하나는 자물쇠를, 다른 하나는 열쇠를 지고 있다. 기본
비밀번호를 거는 일이 바로 그 열쇠를 암호화해 짝을 끊는 일이다.
실제 시나리오는 영화가 아니다
비밀번호를 도둑맞는 장면을 상상할 때 사람들은 서버를 공격하는 누군가를 떠올린다. 실제로 벌어지는 두 경우는 훨씬 더 가정적이다.
첫째, 잠금이 풀린 당신의 컴퓨터에 접근할 수 있는 사람. 아무 기술도 필요 없다. 목록은 브라우저 설정에서 두 번만 누르면 나오고, 평문으로 보여주기 위해 시스템 비밀번호를 묻더라도 그 비밀번호는 당신과 같이 사는 사람이나 당신이 치는 걸 본 사람이 알고 있다.
둘째, 당신의 브라우저 프로필을 복사하는 프로그램. 아무것도 부수지 않는다. 파일을 가져가서 다른 곳에서 느긋하게 연다. 업계에 고유한 이름이 붙을 만큼 흔한 종류의 소프트웨어이고, 그 이름이 인포스틸러다. 「그래도 암호화되어 있잖아」라는 말이 언제나 다음 질문을 필요로 하는 이유가 정확히 이것이다. 암호화되어 있다, 좋다 — 그런데 키는 어디 있나?
그 두 번째 시나리오에 대해 애플의 모델은 버틴다. 구글의 것은 암호를 켜두었다면 버틴다. 기본 비밀번호 없는 파이어폭스는 아무것도 버티지 못한다.
무엇을 할 것인가, 효과가 큰 순서로
하나. 파이어폭스를 쓴다면 기본 비밀번호를 걸어라. 개인 정보 설정의 체크박스 하나이고, 이 목록에서 노력 대비 보호 효과가 압도적으로 큰 변경이다.
둘. 크롬이나 안드로이드를 쓴다면 구글 관리자에 들어가 기기 내 암호화나 동기화 암호를 켜라. 켜기 전에 종이 같은 물리적인 곳에 적어 두고, 무엇에 서명하는지 이해하라. 그 순간부터 그 문구가 유일한 문이다.
셋. 나머지 전부를 보관하는 계정의 비밀번호를 보라. 구글 계정, 애플 ID, 마이크로소프트 계정은 당신이 그 안에 비밀번호를 저장하기 시작한 순간 「계정 하나 더」이기를 그만두었다. 이제 그것이 나머지의 열쇠다. 그 비밀번호를 팔 년 전에 직접 지어냈다면 검사기에 넣어 뭐라고 나오는지 보라. 마음이 동하면 생성기의 것으로 바꾸면 된다.
넷. 그 계정에 2단계 인증을 켜라. 「비밀번호를 안다」를 「그래도 못 들어온다」로 바꾸는 단계다.
이걸로 충분한가, 진짜 관리자가 필요한가
무엇을 위해서냐에 달렸고, 여기서 정직한 답은 물건을 파는 답이 아니다.
대부분의 사람에게는 암호화를 제대로 설정한 브라우저 관리자로 충분하다. 그리고 실제 대안보다 비교할 수 없이 낫다. 그 대안은 더 나은 관리자가 아니라 마흔 개 사이트에 반복된 같은 비밀번호이기 때문이다.
전용 관리자가 이기는 것은 브라우저의 것이 못하거나 안 하는 일이 생길 때다. 서로 다른 두 브라우저를 미치지 않고 쓰기, 배우자와 비밀번호를 왓츠앱으로 보내지 않고 공유하기, 비밀번호가 아닌 것들을 보관하기, 전부 잃지 않고 한 생태계에서 빠져나오기, 당신의 비밀을 맡은 쪽의 코드를 감사할 수 있기. 그 이야기는 다른 글에서 했고, 요점은 큰 도약이 관리자에서 관리자로 가는 것이 아니라 없음에서 아무것이나 하나로 가는 것이라는 점이다.
실제로 찾고 있던 것
당신이 찾던 것은 목록이다. 쓰는 것에 따라 passwords.google.com이나 아이폰의
「암호」 앱, 또는 브라우저 설정 안에 있다.
기왕 들어간 김에 한 가지만 더 보라. 그 목록에서 같은 비밀번호가 몇 번 반복되는지. 세 관리자 모두 물어보면 알려준다. 그 숫자는 암호화에 관해 읽을 수 있는 어떤 글보다도 —이 글을 포함해— 당신의 진짜 상황을 잘 설명한다.
출처: iCloud 키체인에 관한 애플의 보안 문서(애플이 모르는 키를 사용한 종단 간
암호화와 시도 횟수 제한) · 동기화, 동기화 암호, 기기 내 암호화에 관한 구글 크롬
도움말 · 파이어폭스가 비밀번호를 저장하는 방식(logins.json과 key4.db)과 기본
비밀번호에 관한 모질라 문서.
사진: Ron Lach · Pexels