인증 앱과 앱 비밀번호: 작동 원리와 사용법

인증 앱은 흔히 TOTP라고 부르는 시간 기반 일회용 비밀번호를 만듭니다. 앱 기반 2단계 인증을 켜면 서비스가 QR 코드를 보여 주는데, 이 코드에는 비밀 키가 들어 있고 스캔하면 그 키의 사본이 앱 안에 저장됩니다. 그 뒤로는 서비스와 내 휴대폰이 같은 비밀 값을 공유하며, 이 값은 다시 네트워크를 오갈 필요가 없습니다.

코드를 만들 때 앱은 비밀 값과 현재 시간을 결합하는데, 시간은 보통 30초 정도의 짧은 간격으로 맞춰지고, 그 결과를 표준 암호화 함수에 통과시킵니다. 그런 다음 출력을 짧은 숫자, 보통 여섯 자리로 줄입니다. 서버도 자기 쪽에서 같은 계산을 해 두 결과를 비교합니다. 양쪽에 필요한 것이 비밀 값과 시계뿐이므로, 앱은 모바일 데이터나 Wi-Fi 없이도 작동합니다.

이 구조는 가장 흔한 문제를 설명해 줍니다. 올바르게 입력했는데도 코드가 거부되는 경우입니다. 휴대폰 시계가 어긋나면 잘못된 시간대의 코드를 계산합니다. 날짜와 시간이 자동으로 갱신되도록 설정하면 대개 해결되며, 시간 보정 옵션이 있는 앱도 있습니다.

표준 TOTP 방식을 지원하는 앱이면 대부분의 서비스에서 작동하므로, 실제 선택은 앱이 비밀 값을 어떻게 다루느냐에 달려 있습니다. 대형 플랫폼 기업들은 Google Authenticator나 Microsoft Authenticator 같은 자체 앱을 제공하고, 많은 비밀번호 관리자도 TOTP 코드를 저장할 수 있습니다.

코드를 백업하거나 내보내는 방법이 있는지 보세요. 코드를 휴대폰 한 대에만 두는 앱이라면 분실이 곧 잠김이 되기 때문입니다. 앱이 클라우드 계정에 동기화된다면 그 계정 자체도 잘 보호되어 있는지 확인하고, 백업을 암호화하는 앱을 택하세요. 지문, 얼굴, PIN으로 거는 앱 잠금은 누군가 잠금이 풀린 내 휴대폰을 집어 들었을 때 추가 보호가 됩니다.

일부 인증 앱은 자사 계정에 한해 푸시 승인 기능도 제공합니다. 코드를 입력하는 대신 눌러서 로그인을 확인하는 방식입니다. 편리하지만 그 제공업체에서만 통합니다. 다른 모든 서비스에서는 앱이 표준 코드 생성기처럼 동작합니다.

계정의 보안 설정에서 인증 앱 설정 옵션을 고르세요. 앱으로 QR 코드를 스캔하거나, 스캔할 수 없다면 설정 키를 직접 입력합니다. 그러면 서비스가 설정이 잘 되었는지 확인하려고 현재 코드를 요구합니다. 이 단계를 건너뛰지 말고, 코드가 승인될 때까지 페이지를 닫지 마세요.

앱이 지원한다면 각 항목에 알아보기 쉬운 이름을 붙이세요. 같은 서비스에서 여러 계정을 관리할 때 특히 그렇습니다. 브랜드 이름만 표시되는 항목은 다른 항목과 혼동하기 쉽고, 잘못된 항목을 지우면 계정에 들어가지 못할 수 있습니다.

서비스가 제공하는 백업 코드나 복구 코드도 같은 때 저장하세요. 이 코드는 인증 코드를 따로 백업해 두기 전에 인증 앱이 있는 휴대폰을 잃어버렸을 때 다시 들어갈 수 있는 가장 간단한 방법입니다.

가장 안전한 원칙은 간단합니다. 기존 휴대폰이 아직 작동할 때 새 휴대폰을 설정하세요. 모든 코드를 옮겨 테스트하기 전에는 기존 기기를 초기화하거나 팔거나 보상 판매하지 마세요.

많은 인증 앱에는 기존 휴대폰에 QR 코드를 하나 이상 띄워 새 휴대폰이 스캔하게 하는 이전 또는 내보내기 기능이 있습니다. 새 기기에서 로그인하면 암호화된 클라우드 백업에서 항목을 복원하는 앱도 있습니다. 옮긴 뒤에는 몇 개 계정에 새 코드로 로그인해 코드가 일치하는지 확인하세요.

앱에 이전 기능이 없다면 계정을 하나씩 옮기세요. 각 서비스에 로그인해 2단계 인증 설정을 열고 인증 앱을 추가하거나 변경하는 옵션을 고른 뒤, 새 휴대폰으로 새 QR 코드를 스캔하고 코드를 확인합니다. 많은 서비스에서 비밀 값이 교체되면 기존 항목은 작동하지 않으므로, 혼동을 피하려면 이후에 지우세요. 중간에 문제가 생길 때를 대비해 옮기는 동안 백업 코드를 가까이 두세요.

앱 비밀번호는 특정 앱이나 기기 하나가 2단계 인증을 거치지 않고 내 계정에 로그인할 수 있게 해 주는, 길고 무작위로 생성된 비밀번호입니다. 아이디와 비밀번호만 이해하고 코드 입력 창이나 로그인 페이지를 열 수 없는 오래된 소프트웨어를 위해 존재합니다.

Google, Microsoft, Yahoo 계정 등은 계정의 보안 설정에서 앱 비밀번호를 만들 수 있게 해 주며, 대부분 2단계 인증을 켠 뒤에야 가능합니다. 일부 직장 또는 학교 계정이나 가장 엄격한 보안 프로그램에 등록된 계정처럼 아예 제공하지 않는 계정 유형도 있습니다. 앱 비밀번호는 보통 만들 때 한 번만 보이므로 곧바로 앱에 붙여 넣으세요.

앱 비밀번호는 두 번째 요소를 건너뛰므로, 보호하는 메일함의 전체 비밀번호처럼 다루세요. 앱이나 기기마다 하나씩 따로 만들고, 서비스가 허용하면 알아보기 쉬운 이름을 붙이고, 다른 곳에는 절대 재사용하지 마세요.

최신 이메일 앱은 2단계 인증을 직접 처리하는 브라우저 방식의 로그인 창을 통해 주요 제공업체에 로그인하므로 앱 비밀번호가 필요하지 않습니다. 보통은 프로그램이나 기기가 단순한 IMAP, POP, SMTP 설정과 비밀번호 입력란만으로 연결할 때 필요합니다. 오래된 데스크톱 메일 클라이언트, 일부 모바일 메일 앱, 이메일을 보내는 스캐너와 프린터, 백업 도구, 스크립트, 오래된 스마트 기기가 해당합니다.

좋은 판단 방법은 먼저 평소 방식으로 로그인해 보는 것입니다. 앱이 제공업체의 로그인 페이지를 열면 그것을 쓰세요. 서버 설정만 제공하고 2단계 인증을 켠 뒤로 올바른 비밀번호를 계속 거부한다면, 앱 비밀번호를 만들어 평소 비밀번호 대신 입력하고 나머지 설정은 그대로 두라는 신호입니다.

제공업체들은 서드파티 앱의 단순 비밀번호 로그인에서 점차 멀어지고 있으므로, 지금 작동하는 앱 비밀번호도 나중에는 지원이 중단될 수 있습니다. 의존하던 프로그램이 연결되지 않게 되면, 또 다른 앱 비밀번호를 만들기 전에 최신 버전이 최신 로그인 방식을 지원하는지 확인하세요.

계정의 보안 설정에서 앱 비밀번호를 가끔 점검하고, 판 기기나 삭제한 프로그램의 것처럼 더 이상 쓰지 않는 앱 비밀번호는 폐기하세요. 제공업체에 따라 앱 비밀번호를 하나씩 보여 주기도 하고, 한꺼번에만 지울 수 있게 하기도 합니다. 일부 서비스에서는 주 비밀번호를 바꾸면 기존 앱 비밀번호도 폐기되므로, 이후 새로 만들 준비를 해 두세요.

rStock 같은 디지털 상품 마켓플레이스를 통해 다른 사람에게서 이메일 계정을 받았다면, 내가 만들지 않은 앱 비밀번호와 인증 앱 항목은 제거하고 자신의 인증 앱을 설정한 뒤 새 백업 코드를 만드세요. rStock에서는 전달된 내용이 주문 페이지에 주문과 연결된 전달 내역으로 나타나므로, 변경을 시작하기 전에 정보를 비밀번호 관리자에 복사해 두세요. 얻은 계정은 제공업체의 이용약관에 맞게 사용하고, rStock은 이 글에 언급된 Google, Microsoft, Yahoo를 비롯한 어떤 제공업체와도 제휴 관계가 아님을 기억하세요.

마지막으로 인증 앱, 백업 코드, 앱 비밀번호는 가능하면 서로 떨어뜨려 보관하세요. 휴대폰 한 대를 도난당하거나 메모 하나가 유출되었다고 해서 누군가에게 내 메일의 모든 열쇠가 넘어가서는 안 됩니다.