비밀번호 관리 프로그램, 여러 보안 실천 사항들을 지킬 수 있게 해줘
무료 버전은 기업용으로 추천하기 힘들어...저렴한 버전도 충분히 활용 가능

[보안뉴스 문가용 기자] 좋은 비밀번호는 엉망진창으로 생겼다. 길고, 비논리적이며, 혼란스럽고, 기억하기에 고약하다. 그래서 강력한 것이기도 하지만, 그래서 쓸모없기도 하다. 이런 상황에서 서서히 각광받기 시작한 게 있으니 바로 비밀번호 관리 프로그램이다.


[이미지 = iclickart]

비밀번호 관리 프로그램의 기반이 되는 개념은 간단하다. 사용자 이름과 비밀번호를 로그인 페이지와 연결시켜주는 데이터베이스를, 강력한 한 개의 비밀번호로 보호해 저장한다는 것이다. 비밀번호 관리자 프로그램이 로그인 페이지를 조우하면, 사용자는 바로 이 강력한 비밀번호 한 개를 입력하기만 하면 된다. 그러면 로그인 페이지의 빈 칸은 프로그램이 알아서 채워준다.

비밀번호 관리자를 사용했을 때의 가장 큰 장점은, 서비스와 사이트마다 사용자 ID와 비밀번호를 다르게 설정하라는 꿈만 같았던 보안 권장 사항을 지킬 수 있게 된다는 것이다. 심지어 주기적으로 비밀번호를 바꿔주라는 것도 비교적 간단히 지킬 수 있게 된다.

시중에 나온 많은 비밀번호 관리 프로그램이 이 정도는 기본적으로 충족시켜준다. 하지만 그 성능과 안정성, 속도와 같은 측면에서 조금씩 차이를 보이는 것도 사실이다. 크리덴셜을 보호하는 방식, 다른 보안 프로그램들과의 호환성 등 눈에 잘 띄지 않는 특성에서도 차이가 나타난다.

문제는 이런 차이가 규모가 작은 기업들에는 큰 차이로 나타난다는 것이다. 예산이 한정적이라 소프트웨어를 함부로 바꿀 수 없는 조직들은 꼼꼼하게 모든 측면을 알아볼 수밖에 없다. 그래서 이번 주 주말판에서 본지는 소규모 사업장에서 사용해봄직한 비밀번호 관리 프로그램들을 몇 가지로 꼽아보았다. 미리 말하자면, 무료 제품은 하나도 없다. 무료로 유통되는 제품들은 잘 해봐야 개인용으로나 알맞다.

라스트패스(LastPass)
라스트패스는 인기가 높은 소비자용 비밀번호 관리 프로그램이다. 가장 저렴한 제품은 무료다. 하지만 이 무료 버전을 기업용으로 사용하는 것을 추천하지는 않는다. 라스트패스도 다양한 기업용 버전을 시장에 내놓고 있는 상황이다. 기업 전체의 비밀번호를 중앙 콘솔에서 관리할 수 있게 해준다는 건 어떤 값의 제품이건 동일하다. 무료 다음으로 저렴한 버전만 구입하더라도 대부분의 소규모 사업장에서는 불편 없이 사용할 수 있을 것으로 예상된다. 그래도 결정을 하기 전에 좀 더 비싼 제품들이 제공하는 옵션들도 검토하는 것을 추천한다.

가장 저렴한 버전은 ‘팀(Teams)’이다. 전 직원이 50명이 채 되지 않는다면 ‘팀’만으로도 충분하다. 기업용(Enterprise) 버전에 있는 기능들 대부분을 포함하고 있지만 단순하고 가벼워 사용하기가 더 쉽다. 라스트패스 측에 따르면 팀은 기업 전체가 아니라 기업 내 소규모 팀을 위한 프로그램이라고 하는데, 일반 기업에서 꾸려지는 부서나 팀과 비슷한 크기의 회사라면 충분히 활용할 수 있다.

하지만 사람이 적더라도 사용자 정책이 꽤나 복잡한 편이고, 네트워크 디렉토리와 클라우드 서비스 등에 비밀번호 관리 프로그램을 통합해서 사용해야 하고, 비즈니스용 애플리케이션 다수에 싱글사인온 기능을 제공해야 하는 상황이라면 얘기가 달라진다. 그런 경우라면 방금 얘기가 잠깐 나온 라스트패스 엔터프라이즈(LastPass Enterprise)가 더 알맞다.

팀과 엔터프라이즈의 가격은 그리 크게 다르지 않다. 팀의 경우 한 달에 사용자 1인이 내야 하는 돈이 4달러고, 엔터프라이즈는 6달러다. 그렇다고 해서 쉽게 엔터프라이즈 버전을 골라서는 안 된다. 실제 기업 환경에 구축하는 것에 있어서 두 버전은 큰 차이를 보이기 때문이다. 엔터프라이즈를 제대로 구축해 활용하려면 비밀번호 관리 프로그램과 보안 정책 등에 대한 보다 깊은 지식이 필요하다.

비욘드트러스트(BeyondTrust)의 패스워드 세이프(Password Safe)
패스워드 세이프는 처음부터 기업을 염두에 두고 만들어진 비밀번호 관리 프로그램이다. 즉 수많은 사용자들이 한 조직 아래서 활동하고, 계정을 잠그고, 데이터를 보호할 수 있도록 설계된 소프트웨어라는 것이다.

기업용 비밀번호 관리 프로그램이 다 그렇지만 패스워드 세이프도 다음과 같은 항목들을 설정할 수 있다.
1) 네트워크에 연결된 장비의 자동 탐지
2) 장비들을 위한 비밀번호 생성과 저장
3) 권한 높은 계정들의 비밀번호 관리
4) 유연한 접근 제어
5) 비밀번호 복잡성 수준 도입 및 관리
6) 비밀번호 유효기간 설정
7) 비밀번호가 제대로 입력되는 상황에서라도 위치와 시간 등의 요소에 따른 접근 관리

이런 기능들을 제대로 활용하려면 내부의 보안 전문가는 물론 외부의 비밀번호 구축 및 통합 전문가를 필요로 한다. 최소 둘 중 하나라도 있어야 하지만 둘 다 있을 때 더 좋다. 그럴 때 기업은 고급 비밀번호 보안 및 인증 기능을 보유할 수 있을 것이며, 로그인 한 사용자들의 행동에 대한 분석 능력 또한 향상시킬 수 있게 된다. 비욘드트러스트에 문의하면 가격 정보를 받아볼 수 있다.

키퍼(Keeper)
키퍼는 소비자용과 기업용 버전으로 나뉜다. 소비자용의 경우 무료로 배포되기 때문에 꽤나 지명도가 높은 편이다. 1~2인으로 시작하는 사업주가 비밀번호 관리를 철저히 하기 위해서 무료 버전으로 시작했다가, 회사가 성장함에 따라 하나 둘 유료로 기능을 추가해가며 기업용 버전으로 옮겨가기에 알맞은 구성이다. 물론 처음부터 기업용으로 시작해도 무방하다.

키퍼의 가장 기본 버전은 강력한 비밀번호를 생성해주고, 그 비밀번호를 별도의 비밀 저장소에 저장해주는 기능을 가지고 있다. 이 저장소는 각 직원들마다 따로 지정되며, 각종 파일들과 민감한 정보도 같이 보관한다. 바로 다음 버전의 경우는 직원들의 직책과 역할에 따른 접근 관리 기능과 중앙 관리 콘솔이 추가된다. 또한 비밀번호 및 접근 감사와 버전 제어 기능도 포함되어 있다. 사용자 별로 한 달 3.62 달러 혹은 1년 32.33 달러부터 시작한다.

원패스워드(1Password)
원패스워드도 소비자들 사이에서 인기와 지명도가 높은 소프트웨어 중 하나다. 뿐만 아니라 IT 담당자들 사이에서도 어쩌면 가장 널리 알려진 비밀번호 관리 도구로 봐도 무방하다. 기업용 버전의 경우 세 가지로 출시되는데, 기업의 규모에 따라 셋 중 하나를 고르면 된다.

규모가 작은 조직들의 경우 가장 기본적인 기능을 가지고 있는 버전인 ‘팀(Teams)’이 알맞다. 강력한 비밀번호 생성과 저장, 이중 인증, 비밀번호 관리에 필요한 기능, 정책 및 접근 규칙 설정과 같은 기능을 제공한다. 게스트 계정을 다섯 개까지 설정할 수 있으며 임시 비밀번호를 관리자가 설정할 수 있도록 해준다. 1명이 1달 사용하는 데 3.99 달러다.

그 다음 버전은 원패스워드 비즈니스(1Password Business)다. 추가적인 관리 및 모니터링 기능들을 선보인다. 20개의 게스트 계정들을 설정할 수 있으며, 사용자 한 사람 한 사람마다 5 기가바이트의 파일 스토리지 공간을 부여 받는다(팀 버전의 경우 1 기가바이트). 접근 제어, 모니터링, 로깅 기능이 보다 세분화 되어 있다. 1명이 1달 사용하는 데 7.99 달러다.

원 아이덴티티(One Identity)
원 아이덴티티는 처음부터 기업용 비밀번호 관리 프로그램들만을 개발해온 기업이다. 비밀번호 관리 전용 프로그램이라기보다 종합적인 아이덴티티 및 접근 관리 프로그램에 가깝다. 즉, 원 아이덴티티의 본질 상 비밀번호 관리는 전체 기능의 일부에 불과하다는 뜻이다.

원 아이덴티티의 비밀번호 관리 기능에서 가장 눈에 띄는 것 중 하나는 사용자들이 여러 기능을 가지고 있는 셀프서비스 포털에 접근할 수 있도록 구성됐다는 것이다. 잊어버린 비밀번호를 새롭게 설정할 때, 조직이 요구하는 수준의 비밀번호가 무엇인지 알고 싶을 때 등 각종 상황에서 일일이 보안 담당자에게 전화하지 않아도 된다는 것이다. 마이크로소프트 액티브 디렉토리(Microsoft Active Directory)의 아이덴티티 기능을 바탕으로 만들어져 있다.

원 아이덴티티 패스워드 매니저(One Identity Password Manager)는 스탠드얼론 제품이긴 하지만, 전체 접근 관리 인프라의 일부로서 설계되었다. 기업 내 환경 전체에서 수많은 부서와 직원들의 접근을 원활하게 제어하는 데 알맞은 제품이다. 원 아이덴티티 측에 문의하면 가격 정보를 받을 수 있다.

대시레인(Dashlane)
대시레인은 소비자용과 기업용으로 나뉘어 출시된다. 흔히 그렇듯 소비자용은 무료 버전부터 시작하며, 유료 버전은 구독 형태로 제공된다. 대시레인의 가장 큰 장점은 업무용 비밀번호와 사적으로 사용하는 계정이나 서비스의 비밀번호를 한 개의 계정으로 관리할 수 있다는 것이다. 업무용 항목과 개인용 항목을 한 개 계정에서 관리할 수 있는 건, 스마트 스페이스(Smart Spaces)라는 기능 때문이다.

기업용 대시레인은 대시레인 비스니스(Dashlane Business)로, 이중 인증과 중앙 관리 기능을 제공해준다. 당연하지만 다수 장비 지원 기능과 강력한 비밀번호 생성 기능, 안전한 파일 저장소를 제공하기도 한다. 대시레인 비즈니스의 한 달 사용료는 한 사람 당 4달러다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>