비밀번호 관리자 고르는 법과 잘 쓰는 법

웹사이트가 해킹되면 도난당한 이메일과 비밀번호 조합은 처음 공격자의 손에만 머물지 않습니다. 거래되고, 같은 조합을 이메일 제공업체, 쇼핑몰, 소셜 네트워크, 게임 플랫폼에 시도하는 자동화 도구에 입력됩니다. 크리덴셜 스터핑이라고 부르는 이 기법은 사람들이 비밀번호를 재사용할 때만 통하며, 일반 계정이 탈취되는 가장 흔한 경로 중 하나입니다.

고유한 비밀번호는 이 고리를 끊습니다. 계정마다 길고 무작위인 자기만의 비밀번호가 있다면 한 서비스의 유출은 그 서비스 안에 머뭅니다. 문제는 수십 개의 무작위 문자열을 기억할 사람이 없다는 것이고, 바로 그 일을 하려고 만들어진 것이 비밀번호 관리자입니다.

비밀번호 관리자는 로그인 정보를 하나의 마스터 비밀번호로, 신뢰하는 기기에서는 지문이나 얼굴로도 열리는 암호화된 보관함에 저장합니다. 가입하거나 비밀번호를 바꿀 때 길고 무작위인 비밀번호를 생성하고, 로그인할 때 대신 입력해 줍니다.

자동 완성은 조용한 피싱 방지 기능이기도 합니다. 관리자는 저장된 로그인을 정확한 웹사이트 주소와 대조하므로, 비슷하게 만든 도메인에서는 보통 은행 비밀번호를 제안하지 않습니다. 자주 쓰는 로그인 페이지인데 갑자기 관리자가 인식하지 못한다면, 직접 무엇이든 입력하기 전에 멈추고 주소를 확인하세요.

대부분의 관리자는 비밀번호 저장 이상의 일을 합니다. 백업 코드와 복구 정보를 담는 보안 메모, 패스키 저장, 저장된 비밀번호가 알려진 유출에 나타났을 때의 알림, 약하거나 재사용된 비밀번호에 대한 경고, 가족이나 팀과의 안전한 공유가 흔한 부가 기능입니다.

암호화가 가장 먼저입니다. 종단 간 암호화, 이른바 제로 날리지 설계를 찾으세요. 보관함이 내 기기에서 암호화되어 제공업체가 읽을 수 없다는 뜻입니다. 공개된 보안 문서와 독립적인 감사는 회사가 이 부분을 진지하게 여긴다는 좋은 신호입니다.

다음으로 관리자가 내가 쓰는 모든 곳에서 작동하는지 확인하세요. 쓰는 브라우저, 휴대폰, 컴퓨터에서 작동하고 그 사이 동기화가 안정적이어야 합니다. 보관함 자체도 2단계 인증을, 이상적으로는 인증 앱이나 보안 키를 지원해야 도난당한 마스터 비밀번호만으로는 열 수 없습니다.

마지막으로, 가입하기 전에 떠나는 경우를 생각하세요. 좋은 관리자는 표준 형식으로 데이터를 내보낼 수 있어 종속되지 않습니다. 마스터 비밀번호를 잊었을 때 어떻게 되는지도 읽어 보세요. 복구 키트나 신뢰 연락처를 제공하는 서비스도 있지만, 엄격한 제로 날리지 설계에는 복구 수단이 아예 없을 수 있어 안전하게 보관한 비상용 시트가 필수입니다.

브라우저와 운영체제에는 이제 성능 좋은 비밀번호 관리자가 들어 있습니다. Google 비밀번호 관리자는 Chrome과 Android에 내장되어 있고, Apple 기기에는 iCloud 키체인으로 동기화되는 비밀번호 관리자가 있으며, Microsoft Edge는 Microsoft 계정에 비밀번호를 저장합니다. 추가 비용이 없고, 이미 기기에 있으며, 각 생태계 안에서는 자동으로 동기화됩니다.

한계는 바로 그 생태계입니다. iPhone과 Windows 컴퓨터를 함께 쓰거나 여러 브라우저를 오가면 내장 관리자가 모든 곳에서 편하게 따라오지 않을 수 있습니다. Proton 같은 개인정보 보호 중심 제공업체가 내놓는 것을 포함한 독립형 관리자는 플랫폼과 브라우저를 넘나들며 작동하고, 보통 더 풍부한 공유, 보안 메모, 유연한 정리 기능을 더합니다.

어느 쪽을 택하든 비밀번호를 재사용하는 것보다 훨씬 낫습니다. 실제로 매일 쓸 것을 고르고, 로그인 정보를 여러 관리자에 나누어 두는 일은 피하세요. 어느 사본이 최신인지 놓치기 쉽기 때문입니다.

마스터 비밀번호는 반드시 기억해야 하는 유일한 비밀번호이므로 짧고 복잡한 것보다 길고 기억하기 쉬운 것으로 정하세요. 서로 관련 없는 여러 단어로 만든 패스프레이즈는 입력하기 쉽고 짧은 기호 나열보다 추측하기 훨씬 어렵습니다. 다른 곳에는 절대 쓰지 마세요.

관리자에 2단계 인증을 곧바로 켜고, 백업 코드나 비상 키트는 집의 안전한 곳에 종이로 두는 식으로 오프라인에 보관하세요. 관리자가 복구 방법을 제공한다면 잠긴 뒤가 아니라 지금 설정하세요.

그다음 몇 가지 설정을 조정하세요. 잠시 사용하지 않으면 보관함이 잠기게 하고, 재시작 뒤에는 마스터 비밀번호나 생체 인증을 요구하게 하고, 보안 수정을 받도록 앱과 브라우저 확장 프로그램을 최신으로 유지하세요.

대부분의 관리자는 브라우저에 저장했거나 다른 관리자에서 내보낸 비밀번호를 보통 CSV 파일로 가져올 수 있습니다. 그 파일은 암호화되지 않은 평문이므로, 내보내고 곧바로 가져온 다음 삭제하세요. 다운로드 폴더에 있는 사본과 휴지통에 있는 것도 지워야 합니다.

가져온 뒤에는 독립형 관리자로 옮겼다면 브라우저 자체의 비밀번호 저장을 꺼서 새 로그인 정보가 두 곳에 남지 않게 하세요. 그런 다음 관리자의 보안 보고서를 열어 재사용되거나 약한 비밀번호를 고치기 시작하세요. 다른 모든 것을 재설정할 수 있는 이메일 계정부터 시작하고, 이어서 금융, 업무, 소셜 계정으로 넘어가세요.

하룻밤에 전부 바꿀 필요는 없습니다. 남은 비밀번호는 그 사이트에 다음에 로그인할 때 하나씩 갱신하면 되고, 몇 주 뒤에는 보관함 대부분이 고유하게 생성된 비밀번호로 채워집니다.

이메일, 공유 문서, 주문 페이지로 전달된 로그인 정보는 스크린샷이나 평문 메모가 아니라 관리자에 두어야 합니다. 웹사이트 주소, 아이디, 비밀번호로 새 항목을 만들고, 복구용 이메일, 백업 코드, 그 밖의 설정 정보는 항목의 메모란에 추가하세요.

rStock에서 계정을 구매했다면, 전달된 내용이 주문 페이지에 주문과 연결된 전달 내역으로 나타납니다. 이를 관리자에 복사한 뒤, 비밀번호를 새로 생성한 것으로 바꾸고, 자신의 복구 수단을 설정하고, 2단계 인증을 켜세요. 이렇게 빨리 해 두면 전달 후 제한된 기간 안에 분쟁을 제기할 수 있는 동안 모든 것이 잘 작동하는지도 확인할 수 있습니다. 이런 계정은 항상 브랜드의 이용약관에 맞게 사용하세요. rStock은 이 글에 언급된 어떤 브랜드와도 제휴 관계가 아닙니다.

계정 보안을 마쳤다면 메모, 채팅, 텍스트 파일에 붙여 넣은 추가 사본은 지우세요. 현재 비밀번호가 있는 유일한 장소는 관리자여야 하며, 그래야 갱신하기 쉽고 다른 사람이 찾기 어렵습니다.