비밀번호 관리자의 기술 진화와 사이버보안

2012년 링크드인 사용자 650만 명의 비밀번호 해시가 러시아 해킹 포럼에 통째로 올라왔을 때, 보안 연구자들이 발견한 사실은 충격적이었다. 그중 압도적 다수가 "linkedin", "123456", "password1" 같은 문자열이었고, SHA-1 해시로만 저장돼 있어 크래킹 도구 하나면 몇 시간 안에 원문이 복원됐다. 이 사건은 향후 10년간 비밀번호 관리자 시장이 폭발적으로 성장하는 도화선이 됐다.

초기 도구의 한계

2005년 전후 등장한 초창기 비밀번호 관리자(Password Safe, KeePass 등)는 로컬 암호화 파일 하나에 모든 자격증명을 저장하는 방식이었다. 브루스 슈나이어가 설계한 Password Safe는 트윔블록피시 알고리즘을 사용했지만, 동기화 기능이 없어 PC를 바꾸면 파일을 직접 옮겨야 했다. 이 불편함 때문에 대다수 사용자는 여전히 브라우저 자동완성이나 메모장에 비밀번호를 적어두는 방식을 선호했고, 2013년 스플래시데이터 조사에서는 "123456"이 5년 연속 최다 사용 비밀번호로 집계됐다.

클라우드 동기화와 제로 지식 구조

라스트패스(2008년 창립)와 1Password(2006년 출시)가 클라우드 동기화를 도입하면서 지형이 바뀌었다. 핵심은 '제로 지식(zero-knowledge)' 아키텍처였다—서버는 암호화된 데이터 덩어리만 보관하고, 복호화 키는 사용자의 마스터 비밀번호에서만 파생되어 서비스 제공사조차 열람할 수 없는 구조다. PBKDF2 알고리즘으로 마스터 비밀번호를 수만~수십만 회 반복 해싱해 무차별 대입 공격의 계산 비용을 인위적으로 높이는 방식이 표준이 됐다.

하지만 이 구조도 완벽하지 않았다. 2022년 8월 라스트패스는 소스 코드 저장소가 침해됐다고 공개했고, 그해 12월에는 침해된 개발자 계정을 통해 고객의 암호화된 볼트 백업본까지 유출됐다고 정정 발표했다. 마스터 비밀번호가 충분히 강력했던 사용자는 안전했지만, 짧거나 재사용된 마스터 비밀번호를 쓴 일부 이용자의 암호화폐 지갑이 실제로 털리는 사례가 2023년 상반기 체이널리시스 추적 보고서에 등장했다. 이 사건은 "제로 지식이어도 마스터 비밀번호 하나가 전부다"라는 구조적 취약점을 대중에게 각인시켰다.

패스키와 생체인증으로의 전환

2022년 FIDO 얼라이언스와 애플·구글·마이크로소프트가 공동 발표한 '패스키(Passkey)' 표준은 비밀번호 자체를 없애려는 시도다. 공개키 암호화 방식을 써서, 로그인 시 서버는 공개키만 갖고 있고 개인키는 사용자 기기(스마트폰의 보안 엔클레이브 등)를 벗어나지 않는다. 피싱 사이트가 로그인 폼을 그대로 복제해도 패스키는 원래 도메인이 아니면 작동하지 않기 때문에 자격증명 피싱 자체가 구조적으로 무력화된다. 2023년 구글은 자사 계신 4억 개 이상에 패스키를 기본 옵션으로 제공했고, 2024년 기준 우버·페이팔·아마존 등 주요 서비스가 이를 지원한다.

다만 업계 논쟁도 뜨겁다. 패스키는 기기 종속성이 강해 기기를 분실하거나 생태계(애플↔구글)를 넘나들 때 이전이 번거롭다는 비판이 있고, 1Password·비트워든 같은 제3자 관리자가 패스키를 클라우드에 저장하는 방식과 애플·구글이 자체 생태계에 가두는 방식 사이의 상호운용성 문제가 2024~2025년 FIDO 얼라이언스 내부에서 계속 논의됐다. 보안 전문가들 사이에서는 "비밀번호는 사라지지 않고 당분간 패스키와 병행될 것"이라는 견해가 우세하다.

남은 위협: 인포스틸러와 세션 하이재킹

비밀번호 관리자가 견고해질수록 공격자는 우회로를 찾는다. 2023~2024년 급증한 '레드라인', '루마C2' 같은 인포스틸러 악성코드는 브라우저에 저장된 세션 쿠키와 자동완성 데이터를 통째로 탈취해, 비밀번호를 몰라도 이미 로그인된 세션을 가로챈다. 켈라(KELA) 보안업체의 2024년 보고서에 따르면 다크웹에서 거래되는 도난 계정 로그 중 상당수가 이런 방식으로 확보된 것이었다. 이는 비밀번호 관리 기술이 아무리 발전해도, 엔드포인트 자체가 감염되면 방어선이 무의미해진다는 점을 보여주는 사례로 꼽힌다.

혹시 여러분도 비밀번호를 "1234" 아니면 이름 뒤에 생일 붙여서 쓰고 있나요? 2012년 링크드인이라는 큰 회사에서 사용자 650만 명의 비밀번호가 통째로 해킹돼 인터넷에 뿌려진 적이 있는데, 조사해보니 제일 많이 쓰인 비밀번호가 "123456"이었다고 해요. 이 사건이 지금 우리가 쓰는 '비밀번호 관리자'라는 앱이 널리 퍼지게 된 큰 계기 중 하나예요.

비밀번호 관리자가 뭔가요

비밀번호 관리자는 쉽게 말해 '디지털 금고'예요. 여러분이 사이트마다 다른, 복잡한 비밀번호를 만들어도 그걸 하나하나 외울 필요 없이 금고 안에 넣어두고, '마스터 비밀번호' 하나만 기억하면 나머지는 자동으로 채워주는 방식이죠. 2006년에 나온 1Password, 2008년에 나온 라스트패스 같은 서비스가 대표적이에요.

여기서 중요한 기술이 '제로 지식' 방식이에요. 회사 서버에는 암호화된, 그러니까 알아볼 수 없게 뒤섞인 데이터만 저장되고, 그걸 풀 수 있는 열쇠는 여러분의 마스터 비밀번호에서만 나와요. 즉 회사 직원조차 여러분 비밀번호를 볼 수 없다는 뜻이죠.

그런데 완벽하진 않았어요

2022년 라스트패스라는 회사가 해킹당해서 고객들의 암호화된 데이터 백업본이 유출된 사건이 있었어요. 마스터 비밀번호가 튼튼했던 사람들은 괜찮았지만, 짧고 쉬운 마스터 비밀번호를 쓴 일부 사람들은 실제로 피해를 봤어요. 이 사건으로 "아무리 좋은 금고라도 열쇠 하나가 부실하면 소용없다"는 교훈이 퍼졌죠.

비밀번호 없는 미래, 패스키

그래서 요즘 애플, 구글, 마이크로소프트 같은 큰 회사들이 밀고 있는 게 '패스키'예요. 비밀번호 자체를 아예 없애고, 여러분 스마트폰의 지문이나 얼굴 인식으로 로그인하는 방식이죠. 핵심은 이 방식이 피싱(가짜 사이트로 속여서 비밀번호를 훔치는 수법)에 원천적으로 강하다는 거예요. 가짜 사이트를 아무리 진짜처럼 만들어도 패스키는 원래 사이트 주소가 아니면 작동을 안 하거든요. 2023년부터 구글 계정 수억 개가 이 방식을 기본으로 쓰기 시작했어요.

그래도 조심해야 할 것

비밀번호 관리자나 패스키가 아무리 발전해도, 여러분 컴퓨터나 폰 자체가 악성코드에 감염되면 소용없어요. 요즘 나오는 '인포스틸러'라는 악성 프로그램은 비밀번호를 훔치는 게 아니라, 이미 로그인된 상태(세션)를 통째로 훔쳐가요. 그래서 출처가 불분명한 파일을 다운받지 않는 습관이 여전히 제일 중요한 방어법이에요.

여러분은 비밀번호를 어떻게 만드나요? 혹시 "1234"나 자기 이름을 쓰고 있진 않나요? 그러면 도둑이 문을 열듯 아주 쉽게 뚫려요.

비밀번호는 왜 어려워야 할까요

비밀번호는 집 열쇠와 같아요. 열쇠가 너무 간단하면 아무나 흉내 내서 만들 수 있겠죠? 그래서 사이트마다 길고 복잡한 비밀번호를 쓰라고 하는 거예요. 그런데 문제는, 사이트가 10개, 20개 되면 그 많은 비밀번호를 다 외우기 힘들다는 거예요.

디지털 금고, 비밀번호 관리자

그래서 사람들은 '비밀번호 관리자'라는 앱을 써요. 이건 여러분의 비밀번호를 모두 넣어두는 튼튼한 금고 같은 거예요. 금고를 열려면 열쇠 하나, 즉 '마스터 비밀번호' 하나만 기억하면 돼요. 그러면 앱이 나머지 비밀번호를 자동으로 대신 입력해줘요.

이 금고가 특별한 이유는, 금고를 만든 회사조차 안을 들여다볼 수 없게 만들었다는 거예요. 마치 자물쇠를 채운 상자를 우체국에 맡겼는데, 우체국 직원도 열쇠가 없어서 안을 못 보는 것과 비슷해요.

비밀번호가 사라지는 날

요즘은 더 재밌는 기술도 나왔어요. '패스키'라는 건데, 아예 비밀번호를 안 쓰고 여러분의 지문이나 얼굴로 로그인하는 방식이에요. 마치 열쇠 대신 여러분 얼굴을 알아보는 문이 생긴 셈이죠. 가짜 사이트가 여러분을 속이려고 해도, 얼굴 인식 열쇠는 진짜 문 앞에서만 열리기 때문에 훨씬 안전해요.

그래도 조심해야 해요

아무리 좋은 금고와 열쇠가 있어도, 나쁜 사람이 여러분 컴퓨터에 몰래 나쁜 프로그램을 심으면 소용없을 수 있어요. 그래서 모르는 링크나 파일은 함부로 열지 않는 습관이 제일 중요해요. 좋은 자물쇠도 문을 열어주면 소용없으니까요!