비밀번호 관리자, 아이폰·안드로이드 기본 기능만으로 충분할까

사진: Franck (Unsplash)

왜 비밀번호를 돌려쓰면 안 되나

한 사이트에서 회원정보가 유출되면 공격자는 그 아이디·비밀번호 조합을 다른 유명 사이트에 그대로 대입해보는 방식(크리덴셜 스터핑)으로 공격한다. 사이트마다 비밀번호가 다르면 한 곳이 뚫려도 피해가 그 사이트에서 끝나지만, 같은 비밀번호를 쓰면 연쇄적으로 뚫린다. 문제는 사이트마다 다른 비밀번호를 사람이 직접 기억하기는 현실적으로 어렵다는 점이다. 비밀번호 관리자는 이 기억의 부담을 대신 떠안는 도구다.

아이폰의 Passwords 앱

iOS 18부터 아이폰에는 ‘암호(Passwords)’라는 별도 앱이 생겼다. 웹사이트나 앱에 로그인할 때 저장된 비밀번호로 자동 완성해주고, 필요하면 강력한 무작위 비밀번호를 새로 만들어 저장해준다. 저장된 비밀번호는 iCloud 키체인을 통해 같은 Apple 계정을 쓰는 다른 기기, 그리고 Windows용 iCloud 앱에서도 동기화된다. 눈여겨볼 기능은 유출 탐지다 — 저장해둔 계정 정보가 알려진 데이터 유출 목록에 포함된 것이 확인되면 앱이 알림을 보내준다.

사진: Plann (Unsplash)

안드로이드의 구글 비밀번호 관리자

안드로이드는 크롬 브라우저와 구글 계정에 내장된 ‘구글 비밀번호 관리자’가 같은 역할을 한다. Android 기기의 설정이나 크롬 브라우저, 또는 passwords.google.com에서 저장된 비밀번호를 확인·관리할 수 있고, 로그인 화면에서 자동으로 강력한 비밀번호를 제안해준다. 구글 계정에 로그인돼 있으면 안드로이드·크롬을 쓰는 모든 기기에서 동기화되는 방식은 아이폰의 iCloud 키체인과 원리가 같다.

패스키와는 어떻게 다른가

비밀번호 관리자와 헷갈리기 쉬운 게 패스키다. 패스키는 비밀번호 자체를 없애고 기기의 생체인증(지문·얼굴)으로 로그인하는 완전히 다른 방식이고, 비밀번호 관리자는 기존 ‘아이디+비밀번호’ 로그인 방식을 그대로 쓰되 그 비밀번호를 안전하게 저장·생성해주는 도구다. 최근에는 두 기능이 한 앱 안에 같이 들어있는 경우가 많다 — 아이폰 암호 앱과 구글 비밀번호 관리자 모두 비밀번호와 패스키를 함께 저장할 수 있다.

서드파티 앱은 언제 필요할까

기본 기능만으로 부족하다고 느끼는 경우는 주로 두 가지다. 아이폰과 안드로이드를 동시에 쓰는 경우 iCloud 키체인과 구글 비밀번호 관리자는 서로 동기화되지 않아 반쪽짜리가 된다. 또한 가족과 로그인 정보를 안전하게 공유해야 하거나, 신용카드 정보·보안 메모까지 한곳에서 관리하고 싶다면 1Password 같은 별도 앱이 더 세밀한 기능을 제공한다. 반대로 기기 하나만 일관되게 쓰고 저장 기능만 필요하다면 기본 기능으로 충분한 경우가 많다.

자주 묻는 질문

비밀번호 관리자에 저장한 정보가 유출되면 더 위험하지 않나요?

관리자 자체가 뚫리는 것보다, 기억력에 의존해 같은 비밀번호를 여러 곳에 재사용하는 쪽이 실제로는 더 큰 위험으로 알려져 있다. 다만 관리자에 접근하는 기기 자체의 잠금(비밀번호·생체인증)은 반드시 설정해둬야 한다.

이미 저장된 비밀번호가 유출 목록에 있는지 어떻게 확인하나요?

아이폰 암호 앱과 구글 비밀번호 관리자 모두 저장된 계정이 알려진 유출 데이터베이스에 포함되면 자동으로 알림을 보내는 기능이 있다. 별도로 확인하지 않아도 앱이 감지해준다.

브라우저에 비밀번호를 저장하는 것도 비밀번호 관리자와 같은 건가요?

크롬의 비밀번호 저장 기능이 곧 구글 비밀번호 관리자와 연동돼 있으므로 사실상 같은 기능이다. 다만 사파리 같은 다른 브라우저의 자체 저장 기능은 별도 저장소일 수 있어 계정별로 나뉘어 관리될 수 있다.

마무리

지금 자주 쓰는 사이트 서너 곳의 비밀번호가 서로 겹치는지부터 확인해보는 것으로 시작하면 된다. 겹치는 게 있다면 아이폰 암호 앱이나 구글 비밀번호 관리자의 자동 생성 기능으로 하나씩 바꿔두는 것만으로도 크리덴셜 스터핑 피해 범위를 크게 줄일 수 있다.