이용 서비스 많아질수록 ID/PW 외우기 쉽게 만드는 경향 있어
계정관리 프로그램으로 다양한 ID/PW 설정해야 보안 강화 가능

[보안뉴스 이상우 기자] 우리는 수많은 인터넷 기반 서비스를 이용하면서, 각 서비스마다 회원가입을 통해 계정을 만든다. 스마트폰을 사용하기 위해 구글이나 애플 계정을 필수적으로 생성하고, 친구와 연락하기 위해 카카오톡이나 인스타그램에도 가입한다. 평소 사용하던 네이버 앱에도 로그인하고, 쇼핑을 위해 마켓컬리나 쿠팡 계정도 만든다.


[이미지=utoimage]

이러한 서비스를 이용할 때 ID와 비밀번호는 서비스 제공자에게 자신이 누구인지, 어떤 서비스를 이용할 수 있는지 등을 밝히는 수단이다. 그런데 많은 서비스에 각각 가입하게 되면서 한 가지 고민이 생겼다. 기억해야 할 ID/비밀번호가 너무 많다는 점이다. 최근 소셜 로그인 같은 기능을 도입하는 곳들이 생겨 네이버나 카카오 계정으로 쉽게 회원가입을 할 수 있지만, 아직도 직접 가입해야 하는 서비스는 많다. 수많은 ID를 쉽게 기억하려고 평소 사용하던 것을 그대로 쓰기도 하고, 대/소문자, 숫자, 특수문자 등을 조합하라는 비밀번호도 외우기 쉽게 ‘Password486!’ 같은 것을 쓴다. 혹시라도 평소와 다른 ID나 비밀번호로 계정을 만들었다면 로그인 할 때마다 자연스럽게 ‘ID/비밀번호 찾기’로 손이 가기 마련이다.

하지면 같은 ID를 여러 서비스에 사용한다면 비밀번호를 무작위로 대입하는 해킹 기법 ‘크리덴셜 스터핑’에 취약하며, 비밀번호까지 동일하게 설정하면 자신의 계정 중 하나만 해킹돼도 여러 서비스에 등록된 자신의 금융 및 개인정보까지 유출될 수 있다. 특히, 복잡한 비밀번호를 추천하는 권장사항 때문에 사용자가 오히려 외우기 쉬운 비밀번호를 중복으로 사용하고 있다.


[사진=utoimage]

KISA가 지난 8월 실시한 설문조사에 따르면 각 사이트마다 완전히 다른 ID를 사용한다고 응답한 사람은 응답자 2,105명 중 65명에 불과한 반면, 업무용 ID까지 평소와 동일하게 만든다는 사용자는 557명에 이르렀다. 특히, 응답자 중 170명은 개인용 계정과 업무용 계정의 ID는 물론 비밀번호까지 동일한 것으로 나타났다.

모든 계정에 서로 다른 ID와 비밀번호를 사용하는 것이 가장 이상적이지만, 특별한 기억력이나 노하우가 없다면 이를 모두 기억하는 것은 사실상 불가능할 것이다. 계정 정보를 보관 및 관리할 수 있는 보조수단을 사용한다면 이런 걱정을 덜 수 있다. 앞서 언급한 KSIA 설문에서 계정 정보를 별도로 기록 및 저장하지 않는다고 응답한 사람은 35.87%로 비교적 많았지만, 저장한다고 응답한 사용자는 관리 프로그램, 운영체제 및 브라우저, 별도 저장장치, 수첩 및 지갑 등 다양한 방법을 이용하고 있었다. 그렇다면 자신에게 어울리는 계정 정보 저장 방법에는 무엇이 있을까?

웹 브라우저 로그인을 통한 동기화
PC 웹 브라우저는 ID와 비밀번호를 가장 많이 이용하는 곳이다. 과거 웹 브라우저는 단순히 브라우저 자체에 계정 정보를 저장하고 해당 PC에서만 자동 완성 기능을 지원했지만, 최근에는 클라우드 저장소를 통한 동기화 기능을 지원하는 브라우저도 많다. 크롬, 파이어폭스, 엣지 등 브라우저 자체에 로그인 기능이 있다면 대부분 이 기능을 갖추고 있다고 봐도 무방하다. 물론 동기화 기능을 켜지 않는다면 저장한 계정 정보는 로컬에서만 사용할 수도 있다.

웹 브라우저에 로그인하고 ID와 비밀번호를 저장하면, 향후 다른 PC는 물론 스마트폰에서도 ID와 비밀번호를 손쉽게 입력할 수 있다. 따라서 자신이 평소 주로 사용하는 웹 브라우저의 저장 기능을 이용하는 것이 여러모로 편하다.


▲웹 브라우저 동기화 기능으로 다른 기기에서도 ID와 비밀번호를 쉽게 입력할 수 있다[캡처=보안뉴스]

웹 브라우저를 이용한다는 점에서 큰 틀은 같지만, 세부적인 작동 방식은 차이가 있다. 우선 크롬의 경우 브라우저에 구글 계정으로 로그인 한다. 크롬 브라우저 사용 중 다른 웹 서비스로그인에 사용한 계정 정보(ID/PW)는 구글 계정에 동기화되며, 계정 설정에서 확인 및 변경할 수 있다. 또한, 이렇게 등록한 계정 정보는 다른 구글 계정 기반 기기에서도 사용할 수 있다. 쉽게 말해 같은 계정을 쓰는 안드로이드 스마트폰에서도 별도의 설정 없이 그대로 사용 가능하다. 안드로이드 스마트폰은 구글 앱을 ‘자동 입력 서비스’ 기본 앱으로 지정하고 있기 때문에 각종 안드로이드 애플리케이션과도 연동할 수 있는 만큼 활용도가 높다.

파이어폭스는 ‘파이어폭스 록와이즈’라는 기능을 통해 비밀번호 동기화 기능을 지원한다. 파이어폭스 브라우저를 사용하는 도중, ID와 비밀번호와 저장할 것인지 묻는 메시지가 나타나면 ‘저장’을 누르면 된다. 향후 브라우저에 로그인(Firefox Sync)하면 다른 브라우저에서도 저장된 계정 정보를 이용할 수 있다. 안드로이드 스마트폰에서는 파이어폭스 록와이즈 앱을 별도로 설치해야 한다. 이 앱은 앞서 언급한 구글 앱과 마찬가지로 자동 입력 서비스로 설정할 수 있기 때문에 구글에만 모든 정보가 종속되는 것이 싫다면 이를 사용해도 무방하다.

마이크로소프트 엣지는 마이크로소프트 계정(아웃룩, 온마이크로소프트 등)을 기반으로 동기화 기능을 지원한다. 최근 윈도우 PC는 PC 초기 설정을 진행할 때 스마트폰처럼 마이크로소프트 계정을 이용한 로그인을 유도한다. 평소 이 게정을 사용하고 있고, 엣지를 주로 쓰는 사람이라면 마이크로소프트 계정으로 ID/PW를 동기화하고, 스마트폰용 엣지 브라우저를 설치하면 된다.


▲각 브라우저 계정 저장 기능 비교[표=보안뉴스]

비밀번호 관리 소프트웨어 사용
ID와 비밀번호는 비단 웹 서비스뿐만 아니라 게임 클라이언트, PC용 메신저, 금융 앱 등 다양한 곳에 쓰인다. 이 때문에 단순히 웹 브라우저에 계정 정보를 저장하는 것만으로는 완전한 해결책이 될 수 없다. ID와 비밀번호를 암호화한 클라우드 저장소 등에 기록한다면 사용자는 언제 어디서든 필요한 상황에 저장소를 열어 비밀번호를 복사해 다른 곳에 입력할 수 있다.

‘노턴 패스워드 매니저’는 보안기업인 노턴라이프락이 제공하는 비밀번호 관리도구다. ‘볼트(Vault)’라는 이름의 클라우드 저장소에 ID/PW, 메모, 카드 정보 등 다양한 정보를 기록할 수 있으며, 여기에 저장한 비밀번호를 자동으로 불러오거나 직접 복사해 사용할 수 있다. PC에서 이 공간에 접근하려면 웹 브라우저가 필요하며, 여기서 저장한 비밀번호 목록을 확인할 수 있다. 크롬, 엣지, 파이어폭스 등의 브라우저에서 노턴 패스워드 매니저 확장 프로그램을 설치할 경우 각종 웹 서비스에 로그인 시 비밀번호를 자동으로 입력하는 기능을 이용할 수도 있다.


▲노턴 패스워드 매니저[캡처=보안뉴스]

모바일 앱을 설치할 경우 앱을 통해 볼트에 접근할 수 있으며, 노턴 패스워드 매니저 앱을 안드로이드 스마트폰의 자동 입력 서비스 앱으로 지정하는 것도 가능하다. 다만 앱의 경우 한글은 지원하지 않는다.

복잡한 암호를 자동으로 생성해주는 기능도 있다. 앞서 언급한 것처럼 길고 복잡한 암호를 직접 외우기는 어렵지만, 클라우드 저장소에 기록하고, 쉽게 가져올 수 있는 만큼 최대한 안전한 비밀번호를 무작위로 생성해 계정마다 다르게 적용한다면 보안을 강화할 수 있다.


▲노턴 암호 생성기[캡처=보안뉴스]

또 다른 보안 기업 카스퍼스키의 ‘카스퍼스키 패스워드 매니저’는 PC용 클라이언트 작동하는 암호관리 솔루션이다. 웹사이트는 물론, 메신저 같은 소프트웨어용 계정과 비밀번호도 등록할 수 있고, 파일이나 신용카드 정보 등도 등록 가능하다. 암호가 얼마나 안전한지 평가하는 기능도 있다. 기존 해킹 데이터베이스를 기반으로 자신이 설정한 비밀번호를 사용하는 다른 사람의 계정이 과거 몇 번이나 해킹됐는지 보여주기 때문에 더 나은 비밀번호로 능동적으로 변경할 수 있다.


▲카스퍼스키 패스워드 매니저[캡처=보안뉴스]

모바일 앱 역시 지원하며, PC 클라이언트와 모바일 앱 모두 한글화되어 있어 앞서 언급한 노턴 패스워드 매니저와 비교해 사용이 편하다. 또한, 모바일 앱의 경우 앞서 언급한 사례와 마찬가지로 자동 입력 서비스 앱으로 지정할 수 있어 여기에 보관한 비밀번호 등의 양식을 스마트폰에서 자동으로 가져와 사용하는 것도 가능하다.

다만, 무료 버전에서는 최대 15개의 정보만 등록할 수 있으며, 무제한으로 등록하기 위해서는 프리미엄 버전(1년 13.49달러)을 구매해야 한다.


▲노턴과 카스퍼스키 비교[표=보안뉴스]

국내 금융 서비스와 본인인증에 특화한 삼성패스
삼성패스는 지문인식 기능이 있는 거의 모든 갤럭시 제품군에서 지원하는 본인인증 및 간편 로그인 솔루션이다. 갤럭시 제품군에 기본 설치된 삼성 웹 브라우저를 사용할 경우 여러 웹 사이트에 로그인하는 정보를 삼성패스에 저장할 수 있으며, 향후 사용자는 지문, 홍채 등 생체인식 수단을 이용해 각종 웹사이트에 간편하게 로그인 할 수 있다.


▲삼성패스는 본인인증 및 금융 서비스에 특화돼 있다[이미지=삼성전자]

금융 앱과의 연동 역시 장점이다. 주요 국책은행, 시중은행, 지방은행 등은 물론 여러 카드사 앱과도 연동할 수 있으며, 계좌이체 등을 진행할 때 쓰는 공인인증서 비밀번호를 삼성패스 앱의 생체인식을 통한 본인인증으로 대체할 수 있다.

각종 정보는 삼성전자 스마트폰 내에 있는 암호화 저장소 녹스(knox)에 별도로 보관하기 때문에 유출 가능성 역시 줄였다. 다만, 비밀번호 저장 기능은 삼성 웹 브라우저에서만 작동하며, 보관보다는 인증에 더 초점을 맞춘 기능이라 각종 계정 정보를 저장 및 보관하는 데는 불편함이 있다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>