어디서 시작되었고 어떻게 작동하나
위키백과에 따르면 비밀번호 관리 소프트웨어는 1990년대에 등장했습니다. PassKeeper가 1996년 3월에는 이미 나와 있었고, Counterpane Systems가 1997년 9월 Windows 95용 무료 도구 Password Safe를 공개했습니다. 이 도구는 데이터베이스를 로컬에 저장하고 Blowfish로 암호화했으며 마스터 조합 하나로 열었습니다. 1Password의 첫 버전은 2006년, LastPass는 2008년에 창립되었습니다. 작동 원리는 같은 글의 설명처럼 "사용자가 고른 비밀번호로 만든 키로 금고를 암호화"하는 것이며, 오프라인 추측을 늦추려고 일부러 느린 키 파생 함수를 씁니다. 그래서 약한 마스터 비밀번호는 아무리 좋은 암호화를 써도 약점으로 남습니다.
저장 위치로 나눈 세 유형
| 유형 | 금고가 있는 곳 | 장점 | 따져 볼 점 |
|---|---|---|---|
| 로컬 | 내 기기 | 제공자 서버에 금고가 없음 | 기기 분실·고장 대비 백업은 직접 관리 |
| 클라우드 | 암호화된 금고를 원격 서버에 두고 기기 간 동기화 | 여러 기기에서 같은 정보 사용 | 서버가 공격 대상이 될 수 있음(아래 사례 1) |
| 브라우저 내장 | 웹 브라우저 기능 | 별도 설치 없이 사용 | 제품마다 기능 범위가 다름 |
분류는 위키백과의 설명을 따랐으며, 어느 유형이 더 안전한지는 제품 설정과 사용 방식에 따라 달라 단정하지 않습니다.
실제 사례 세 가지
사례 1. 금고 백업이 유출된 사고: LastPass 2022 (사고의 사례)
LastPass는 2022년 8월 개발 환경에 대한 무단 접근을 공지했고, 같은 해 11월 30일에는 제3자 클라우드 저장소에서 이상 활동이 있었다고 밝혔습니다. 12월 22일 공지에서는 공격자가 고객 계정 기본 정보와 "암호화된 저장 컨테이너의 고객 금고 백업"을 복사했다고 설명했습니다. 회사는 금고 안의 비밀번호와 보안 메모 같은 민감 항목은 256비트 AES로 보호되고, 마스터 비밀번호는 LastPass가 알지도 저장하지도 않는다고 밝혔습니다. 다만 같은 백업에는 웹사이트 URL처럼 "암호화되지 않은 데이터"도 들어 있었습니다. 회사는 2018년부터 마스터 비밀번호를 최소 12자로 요구해 왔고, 이 기본값을 지킨 경우에는 추가 조치가 필요 없다고 안내했습니다. 기본값을 따르지 않았다면 금고에 저장한 사이트의 비밀번호를 바꾸는 것을 고려하라고 했습니다. 배울 점은 "암호화되어 있다"와 "모든 항목이 암호화되어 있다"가 다르고, 마스터 비밀번호의 강도가 사고 이후 실제 위험을 가른다는 점입니다.
사례 2. 제도가 관리자를 전제하기 시작했다: NIST 지침 (표준의 사례)
미국 국립표준기술연구소(NIST)의 디지털 신원 지침 SP 800-63B 개정안은 서비스 제공자(검증자)가 비밀번호 관리자와 자동 입력 기능을 허용해야 한다(SHALL)고 적고, 붙여넣기도 허용하도록 권합니다. 또한 단일 요소 비밀번호는 최소 15자, 다중 요소 안에서만 쓰이는 비밀번호는 8자까지 허용하고, 대문자·기호 섞기 같은 구성 규칙을 강제하지 말며(SHALL NOT), 주기적인 변경을 요구하지 말라고 합니다. 새 비밀번호는 알려진 약한 값 목록과 대조하도록 합니다. 이 문서는 사용자가 아니라 서비스를 만드는 쪽을 향한 요구사항이라는 점을 유의해야 합니다. 그래도 "길고 고유한 비밀번호를 관리자에 맡기는 방식"이 제도에서도 받아들여지는 방향임을 보여 줍니다. 배울 점은 비밀번호의 강도가 기호를 섞은 복잡함보다 길이와 고유성에서 나온다는 관점이 공식 지침에 반영되어 있다는 것입니다. 한국 서비스에 적용되는 기준은 별도 확인이 필요합니다.
사례 3. 내 계정이 유출됐는지 알려주는 서비스: Have I Been Pwned (감시 도구의 사례)
Have I Been Pwned(HIBP)는 마이크로소프트 리저널 디렉터로 소개되는 보안 연구자 트로이 헌트가 2013년부터 운영하는 무료 사이트입니다. 사이트 소개에 따르면 당시 "단일 고객 계정 유출로는 최대"로 평가된 Adobe 사고가 계기가 되어, 자신의 계정이 위험에 노출됐는지 빠르게 확인하게 하려고 만들었다고 합니다. 여러 유출 사고에서 나온 데이터를 모아 조회하게 해 주므로, 관리자의 "유출 경고" 기능과 같은 목적을 가진 외부 도구라고 볼 수 있습니다. 배울 점은 유출은 내 책임과 무관하게 일어나므로, 그때 피해가 다른 사이트로 번지지 않게 하는 것이 사이트마다 다른 비밀번호의 실질적 가치라는 점입니다. 국내 상황은 개인정보 유출 확인 가이드를 참고하세요.
오늘 바로 해볼 점검표
- 마스터 비밀번호: 다른 곳에서 쓰지 않은 것으로 정합니다(LastPass 공지도 재사용 금지를 권고). 길이 기준은 사용하는 제품의 안내를 확인합니다.
- 2단계 인증: 관리자 계정과 중요한 서비스에 켭니다. 2단계 인증 가이드를 참고하세요.
- 자동 입력: 주소가 맞지 않으면 채워 주지 않는 동작이 정상인지 확인하고, 이상하면 주소창부터 봅니다.
- 복구 수단: 마스터 비밀번호를 서비스가 모르는 구조라면 분실 시 복구가 어려울 수 있으니, 제품이 안내하는 복구 방법을 미리 확인합니다.
- 현재 비밀번호 점검: 비밀번호 강도 체크로 점검하고, 비밀번호 없는 로그인은 패스키 기초를 읽어 보세요.
흔한 오해와 정정
- 오해: 금고 전체가 암호화되므로 유출돼도 안전하다. 실제: 2022년 LastPass 공지처럼 URL이 암호화되지 않은 경우가 있었고, 위키백과도 2020년 시험 제품 중 사이트 주소와 사용자명을 암호화하지 않은 사례를 소개합니다.
- 오해: 자동 입력은 항상 피싱을 막아 준다. 실제: 주소가 다르면 채우지 않는 방식이 피싱 예방에 도움이 되지만, 위키백과는 자동 채우기가 침해된 페이지의 악성 코드에 비밀번호를 노출할 수 있고 사용자 조작을 요구해도 위험이 완전히 사라지지는 않는다고 설명합니다.
- 오해: 비밀번호는 기호를 섞어 복잡하게 만들수록 좋다. 실제: NIST는 구성 규칙의 강제를 금지하고 길이와 차단 목록 대조를 강조합니다.
- 오해: 서비스 회사가 마스터 비밀번호를 초기화해 줄 수 있다. 실제: LastPass는 마스터 비밀번호를 알지도 저장하지도 않는다고 밝혔습니다. 그래서 분실 시 복구가 어렵습니다.
한계와 아직 남은 문제
비밀번호 관리자는 하나의 금고에 많은 계정이 모이는 구조라 공격자에게 매력적인 표적이라는 지적이 있습니다(위키백과). 또한 관리자의 잠금 해제 화면을 흉내 낸 가짜 확장 프로그램 화면에 마스터 비밀번호를 입력한 비율이 한 교육기관 대상 2025년 연구에서 448명 중 140명(31.25%)이었다고 위키백과가 소개합니다. 이는 2차 소개 기준이며 원 연구는 확인하지 않았습니다. 이 글은 보안 컨설팅이 아니며, 특정 제품의 안전성이나 우열은 판단하지 않았습니다. 제품별 암호화 범위와 사고 이력은 각 제공자의 공식 공지로 확인하세요.
비밀번호 강도도 확인해보세요
지금 쓰는 비밀번호가 안전한지 궁금하다면 비밀번호 강도 체크와 피싱 예방 가이드도 확인해보세요.
자주 묻는 질문
비밀번호 관리자 자체가 해킹당하면 어떻게 되나요?
대부분의 신뢰할 수 있는 비밀번호 관리자는 강력한 암호화 기술을 사용해 회사조차 저장된 비밀번호 내용을 볼 수 없도록 설계되어 있어, 2단계 인증까지 함께 설정하면 더욱 안전합니다.
마스터 비밀번호를 잊어버리면 어떻게 하나요?
대부분의 서비스가 마스터 비밀번호를 서버에 저장하지 않는 방식으로 보안을 강화하고 있어, 분실 시 계정 복구가 어려울 수 있으므로 마스터 비밀번호는 특히 신중하게 기억해두어야 합니다.
브라우저에 내장된 저장 기능과 별도 관리자는 무엇이 다른가요?
위키백과는 관리자를 로컬, 클라우드, 브라우저 내장 세 유형으로 나눕니다. 제품마다 기능과 암호화 범위가 다르므로 동기화·복구·공유 기능을 비교해 선택하세요.
사고가 났다는 소식을 들으면 무엇부터 해야 하나요?
해당 제공자의 공식 공지를 먼저 읽고 권고 조치를 확인합니다. LastPass 공지처럼 마스터 비밀번호 설정에 따라 권고가 달라질 수 있습니다.
붙여넣기를 막는 사이트는 문제가 없나요?
NIST 지침 개정안은 서비스가 비밀번호 관리자와 자동 입력을 허용해야 한다고 적고 붙여넣기도 허용하도록 권합니다. 막는 서비스가 있다면 관리자 사용에 불편이 생깁니다.