비밀번호 생성기

예전에는 비밀번호 하나를 잘 만들어 오래 쓰는 것이 미덕이었습니다. 지금은 정반대입니다. 어느 한 사이트에서 유출된 아이디와 비밀번호 목록이 자동화 프로그램을 통해 수백 개의 다른 사이트 로그인 창에 그대로 대입되는 방식이 흔해졌습니다. 이른바 '크리덴셜 스터핑'인데, 핵심은 공격자가 여러분의 비밀번호를 알아맞히는 것이 아니라 이미 알고 있는 조합을 재사용하는 곳을 찾아낸다는 점입니다. 즉 비밀번호가 아무리 복잡해도 여러 사이트에서 같은 것을 쓰고 있다면 한 곳만 뚫려도 전부 위험해집니다.

이런 흐름 때문에 보안의 무게중심이 '복잡하게 만들기'에서 '겹치지 않게 관리하기'로 옮겨갔습니다. 특수문자를 몇 개 넣었는지보다, 사이트마다 완전히 다른 비밀번호를 쓰고 있는지가 훨씬 중요해진 것이죠. 무작위로 생성한 긴 문자열은 사람이 외울 수 없기 때문에, 자연스럽게 비밀번호를 재사용하지 않게 만들어 주는 실질적인 장치이기도 합니다. 외울 수 없다는 단점이 오히려 재사용을 막는 장점으로 작동하는 셈입니다.

가장 급한 사람은 '어떤 서비스에서 정보가 유출되었으니 비밀번호를 변경하라'는 안내 메일이나 문자를 받은 직장인입니다. 이때 흔한 실수가 원래 쓰던 비밀번호에서 숫자 하나만 바꾸는 것인데, 이런 변형은 공격 도구가 가장 먼저 시도하는 패턴이라 사실상 의미가 없습니다. 유출 통보를 받았다면 그 사이트뿐 아니라, 같은 비밀번호를 함께 쓰던 다른 사이트까지 모두 완전히 새로운 조합으로 갈아야 합니다.

여러 계정을 몰아서 관리하는 분들도 대상입니다. 쇼핑몰, 이메일, 각종 간편가입 사이트까지 수십 개 계정을 하나의 비밀번호로 돌려쓰고 있었다면, 위험이 그만큼 넓게 퍼져 있는 상태입니다. 또 회사 업무 계정과 개인 계정에 같은 비밀번호를 쓰는 경우도 위험한데, 개인 사이트에서 새어 나간 정보가 회사 시스템 침입의 열쇠가 될 수 있기 때문입니다.

이제 막 온라인 서비스를 늘려가는 분에게도 좋은 출발점입니다. 계정이 몇 개 안 될 때 처음부터 사이트마다 다른 비밀번호를 쓰고 관리 도구에 저장하는 습관을 들이면, 나중에 수십 개로 늘어나도 정리에 드는 수고가 거의 없습니다. 반대로 초반에 대충 통일해 두면 나중에 하나씩 바꾸는 일이 큰 부담으로 돌아옵니다.

무작위 비밀번호는 반드시 비밀번호 관리자와 짝지어 써야 제 힘을 발휘합니다. 생성기로 긴 문자열을 만들고, 그것을 브라우저 내장 관리자나 전용 앱에 바로 저장한 뒤, 다음 로그인부터는 자동 채우기에 맡기는 흐름입니다. 이렇게 하면 여러분이 기억해야 할 것은 관리자를 여는 마스터 비밀번호 하나로 줄어듭니다. 이 마스터 비밀번호만큼은 길고 외우기 쉬운 문장 형태로 직접 정하고, 어디에도 재사용하지 않는 것이 핵심입니다.

길이는 여전히 가장 값싸고 확실한 보안 요소입니다. 문자 종류를 늘리는 것보다 자릿수를 늘리는 편이 대입 공격을 막는 데 더 효과적이므로, 사이트가 허용한다면 16자 이상으로 넉넉히 잡는 것이 좋습니다. 다만 일부 사이트는 특정 특수문자를 거부하거나 최대 길이를 제한하기도 하므로, 생성 옵션에서 문자 종류와 길이를 그 사이트 규칙에 맞춰 조정한 뒤 저장하면 오류 없이 등록할 수 있습니다.

최근에는 비밀번호 자체를 없애는 '패스키'가 빠르게 퍼지고 있습니다. 패스키는 기기에 저장된 암호 키와 지문·얼굴 같은 생체 인증을 결합하는 방식이라, 애초에 입력하거나 유출될 비밀번호가 존재하지 않습니다. 큰 서비스들이 패스키를 지원하기 시작했으니, 제공되는 곳이라면 전환해 두는 것이 가장 근본적인 대비입니다. 다만 아직 모든 사이트가 지원하지는 않으므로, 당분간은 튼튼한 비밀번호와 패스키를 병행하게 됩니다.

패스키를 쓸 수 없는 사이트에서는 2단계 인증을 켜 두는 것이 사실상 필수입니다. 비밀번호가 새어 나가더라도 휴대폰의 인증 앱이나 문자로 오는 추가 코드가 없으면 로그인이 막히기 때문입니다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정 통로가 되는 만큼, 가장 먼저 2단계 인증으로 잠가 두는 것이 좋습니다. 무작위 비밀번호, 관리자, 2단계 인증 이 세 가지를 함께 갖추면 한 곳이 뚫려도 피해가 번지지 않는 구조가 완성됩니다.