보안 규칙

주변에 보안 사고를 겪는 분들이 생겼습니다. 메신저 권한을 탈취 당해 주변 사람들에게 이상한 메시지를 보낸다든지, 줌 주소를 탈취 당해 모르는 사람이 회의에 들어와 있는 등 이상한 일이 일어나고 있습니다. 또 가상화폐 지갑의 개인키가 노출되어 원하지 않게 복구 불가능한 트랜잭션이 일어나기도 합니다.

교육을 통해 보안 상 위험한 행동을 하지 않도록 가이드 하는 것은 한계가 있어 보입니다. 가짜 피싱 메일을 보내는 조직이 있었습니다. 아무리 봐도 그냥 가짜처럼 보이는 메일의 링크를 누르는 사람들이 항상 있었습니다. 이 시도는 보안 부서가 피싱 메일을 필터링하기 위해 노력하는 대신 스스로 피싱 메일을 내부에 보낸다는 강력한 항의에 부딪쳐 얼마 못 가 사라졌습니다. 이런 좀 삐뚤어진 교육에도 불구하고 외부에 노출된 회사 서비스에 개인 계정과 같은 패스워드를 사용하는 건 막을 수도 없습니다. 패스워드 정책을 통해 개인 패스워드와 다른 패스워드를 사용하도록 강제하면 개인 패스워드가 회사 정책에 맞춰 바뀌곤 합니다.

이제 개인의 보안 수단 관리는 메신저 계정이 노출돼 주변 사람들에게 돈을 좀 빌려 달라고 하거나 아는 사람이 납치됐다는 메시지를 받는 수준이 아닙니다. 온라인에서 내가 나임을 증명하는 수단이 노출되면 내가 아닌 사람이 온라인에서 완벽하게 내 행세를 할 수 있고 온라인에 있는 내 정보를 습득할 수 있습니다. 내 구글 계정이 노출된다고 생각해 봅시다. 지메일이 처음 생긴 지난 2004년부터 지금까지 주고 받은 모든 이메읽과 구글포토에 있는 모든 사진과 문서도구에 있는 나 스스로도 있는지 조차 기억하지 못하는 모든 문서와 유튜브 시청기록, 검색 기록과 브라우징 기록도 노출됩니다. 이들을 통해 내가 허락하지 않은 공격자가 나를 완전히 이해할 수 있습니다. 물론 이 사례에서 구글은 이 모든 자료에 내 허락을 받아 접근할 수 있는데 이건 오늘 이야기할 주제에서 벗어나니 다음으로 넘어가겠습니다.

사이트마다 패스워드를 다르게 설정하라든지 수상한 메일의 링크나 첨부파일을 열지 않는다든지 공공장소에서 보안수준이 낮은 네트워크에 접근하거나 공공장소의 컴퓨터를 사용하지 않는 건 지키면 좋은 수준이 아니라 지키지 않을 때 위에 말한 무서운 일을 즉시 일으키게 됩니다. 이런 보안 위협을 좀 더 심각하게 받아들어야 합니다. 누군가가 완벽히 내 행세를 하고 나 자신보다 나에 대해 더 잘 알게 되어 나를 조종할 수 있습니다. 이런 문제를 완화하기 위한 네 가지 규칙을 말씀드리겠습니다.

첫째. 패스워드 매니저를 사용할 것. 사이트마다 다른 패스워드를 사용하면 보안사고가 일어날 때 사고가 전파되지 않도록 해 줍니다. 오래 전 어떤 큰 웹사이트에서 보안사고가 난 날 몇 시간도 채 지나지 않아 게임 웹사이트에 대규모 로그인 시도가 일어났습니다. 이 시도 전체를 차단했지만 그 중 몇몇은 로그인에 성공했을지도 모릅니다. 내가 가입한 모든 서비스들은 박봉에 시달리는 부주의한 개발자에 의해 만들어지고 운영되고 있다고 생각하세요. 과연 그 사람들을 믿고 구글 계정 패스워드를 똑같이 사용할 수 있을까요?

과거에는 아무 지원도 없이 사이트마다 다른 패스워드를 사용하라고 종용하기만 하던 때도 있었습니다. 이 원칙은 유용하지만 아무 도움 없이 사람 머리만으로 실행하기는 어렵습니다. 패스워드에 사이트 이름을 포함하는 등의 규칙을 세울 수 있겠지만 이 규칙을 단단히 확립해 실행하기는 쉽지 않으며 머릿속으로만 관리하는 규칙은 문제가 생길 때 바꾸기 아주 어렵습니다.

패스워드 매니저 앱을 사용하면 보안 사고가 날 때 심지어 사고가 난 서비스의 패스워드를 바꾸지 않아도 문제가 확장되지 않습니다. 사이트마다 다른 패스워드를 생성하기 위해 머릿속에서만 동작하는 안전한 규칙을 유지하기 위해 노력할 필요도 없어집니다. 모든 서비스의 패스워드는 그냥 무작위 생성된 문자열로 나 자신도 모르게 됩니다. 그저 패스워드 매니저 자체의 패스워드 딱 하나만 강력한 긴 문자열로 만들어 기억하면 됩니다. 한때는 이 패스워드 매니저 패스워드가 노출되는 문제를 걱정하는 사람들이 있었습니다만 현대의 패스워드 매니저는 패스워드 뿐 아니라 다른 인증수단과 더 강력한 암호화 수단을 갖추고 있어 내 머릿속보다 더 안전합니다.

둘째. 사이트마다 다른 이메일 주소를 사용할 것. 애플 아이클라우드를 유료로 사용하면 ‘내 이메일 가리기’라는 서비스를 사용할 수 있습니다. 겉으로는 다른 아이클라우드 이메일 주소와 구분할 수 없는 메일 주소를 생성해 줍니다. 이 이메일 주소는 내 애플 계정 메일 주소로 포워딩 됩니다. 새로운 사이트에 가입할 때 이렇게 새로 만든 이메일 주소를 사용하면 사이트마다 계정 이름과 패스워드 양쪽 모두를 다 따로 사용할 수 있게 됩니다. 사이트마다 다른 이메일로 가입하면 보안사고 상황에서 공격자가 다른 서비스에 로그인 시도를 할 수 없을 뿐 아니라 자신이 탈취한 이메일과 내가 가입한 다른 서비스 계정을 연결하지 못하게 됩니다.

한계는 있습니다. 상당수 서비스는 전화번호 인증을 요구하며 높은 확률로 전화번호를 암호화하지 않고 있을 겁니다. 실컷 다른 이메일을 사용하더라도 전화번호에 의해 다른 계정과 연결될 수 있을 뿐 아니라 전화번호를 통해 패스워드 복구 시도를 할 가능성이 있습니다. 또한 이렇게 이메일 주소를 생성할 수 있는 서비스를 사용하는 것 자체가 귀찮은 일이어서 습관적으로 이렇게 하라고 강제하기는 쉽지 않습니다.

셋째. 서비스가 2차 인증을 지원한다면 반드시 사용할 것. 근본적으로 패스워드는 노출될 여지가 많습니다. 키보드로 직접 타이핑한다면 키로거를 통해 노출될 수 있습니다. 특히 하드웨어 타입 키로거는 사실상 발견할 수 없다고 보면 됩니다. 패스워드 매니저로부터 붙여 넣는다면 클립보드를 염탐하는 수많은 앱들에 이미 수집되었을 가능성이 높습니다. 아이폰을 사용한다면 iOS 16 이전에 아무 앱을 실행할 때마다 클립보드로부터 뭔가를 붙여 넣는다는 메시지를 볼 수 있었을 겁니다. 이를 막을 방법도 없었습니다. 이 앱들은 왜 이유 없이 내 클립보드를 붙여넣었을까요. 이 정보는 어디로 갔을까요.

이런 상황 때문에 완전히 다른 체계의 인증이 필요합니다. 패스워드는 이미 노출되었다는 가정 하게 전화, 이메일, 이전에 등록한 다른 장비 등을 통해 두 번째 인증을 하면 패스워드가 노출되었더라도 계정 보안을 유지할 수 있습니다. 다만 2차 인증은 인증 수단을 잃어버릴 가능성이 있습니다. 전화번호를 바꾼다거나 어떤 사고로 이메일에 접근할 수 없게 될 수도 있습니다. 이런 상황에 대비해 복구 코드를 사용하는데 이 복구 코드를 잘 보관하려면 결국 패스워드 매니저 앱이 필요합니다.

넷째. 패스워드를 자주 묻는 서비스를 경계할 것. 패스워드는 나를 인증하는 거의 유일한 방법입니다. 효과적이지만 패스워드는 여러 경로로 노출될 가능성이 높습니다. 때문에 한 번 인증해서 나를 확인하고 나면 특별한 이유가 있기 전에는 이를 다시 묻지 않아야 합니다. 간단한 동작에도 습관적으로 내 패스워드를 묻는다면 그 서비스의 보안 체계에 의심을 가져야 합니다. 가령 잠금 상태로 시작하도록 설정한 카카오톡은 다른 인증 수단 없이 패스워드를 항상 묻는데 이런 동작은 의심해볼 만 합니다. 패스워드를 직접 타이핑하거나 클립보드를 통해 붙여 넣는 행동 자체가 안전하지 않다는 점을 기억하세요.

현대에는 식사를 하고 배설을 하고 씻고 자고 공부하고 운동하는 것처럼 보안을 유지하는 일 역시 나 자신을 유지하기 위해 필수적인 일입니다. 내 뇌를 믿지 말고 기계를 믿으며 기계의 도움을 받아 공격자를 최대한 귀찮게 만드세요. 나는 훨씬 덜 귀찮으면서 공격자를 효과적으로 귀찮게 만들 수 있습니다.