비밀번호 자꾸 잊어버릴 때, 파일에 저장하는 것보다 나은 관리 방법

저도 그래서 비밀번호를 따로 파일에 정리해두고 있습니다. 기억이 안 날 때 찾아볼 수 있으니 편하기는 한데, 문득 이런 생각이 들었습니다. 아이디와 비밀번호를 파일 하나에 모아두는 게 과연 좋은 방법일까, 이것보다 편하면서 안전한 방법은 없을까 싶었습니다.

비밀번호를 따로 적어두게 된 이유가 있었습니다

자주 사용하는 사이트라면 손이 먼저 기억하기도 합니다. 문제는 몇 달에 한 번 들어가는 사이트입니다. 비밀번호가 기억나지 않아 평소 쓰는 조합을 몇 번 넣어보다가 틀리고, 결국 비밀번호 찾기나 재설정을 하게 됩니다.

사이트마다 조건이 다른 것도 한몫했습니다. 평소 사용하는 비밀번호에 대문자를 하나 넣었는지, 특수문자를 붙였는지, 숫자를 다르게 했는지 시간이 지나면 기억이 흐려집니다. 몇 번 잘못 입력했다가 로그인이 제한되면 더 번거로워집니다.

그래서 저는 아예 파일을 만들어 계정 정보를 정리해두게 됐습니다. 적어도 어떤 사이트에 가입했는지와 로그인 정보를 다시 찾는 시간은 줄어들었습니다. 다만 계정이 늘어날수록 한 파일 안에 중요한 정보가 계속 쌓인다는 점은 신경이 쓰였습니다.

복잡하게 만들수록 안전하다고 생각했는데 조금 달랐습니다

저는 그동안 대문자, 소문자, 숫자, 특수문자를 많이 섞을수록 좋은 비밀번호라고 생각했습니다. 실제로 아직도 이런 조합을 요구하는 사이트가 많아 자연스럽게 그렇게 받아들이고 있었습니다.

그런데 최신 NIST 디지털 신원 지침을 확인해보니 방향이 조금 달랐습니다. 비밀번호에 여러 종류의 문자를 반드시 섞도록 하는 규칙을 강제하지 말도록 하고 있으며, 특별한 침해 증거가 없다면 일정 기간마다 무조건 비밀번호를 바꾸도록 하는 것도 요구하지 않습니다.

대신 길이를 중요하게 보고, 흔하게 사용되거나 이미 유출된 비밀번호를 걸러내도록 합니다. 단일 요소 인증에 사용하는 비밀번호는 최소 15자를 요구하는 것이 현재 NIST 기준입니다.

제가 쓰는 파일 저장 방식도 다시 살펴봤습니다

파일에 정리해두는 방식의 가장 큰 장점은 단순하다는 것입니다. 별도의 프로그램을 배울 필요도 없고, 필요할 때 파일을 열어 찾아보면 됩니다. 지금까지 제가 이 방법을 계속 사용한 이유이기도 합니다.

반대로 생각하면 한곳에 여러 계정 정보가 모여 있다는 뜻이기도 합니다. 특히 아이디와 실제 비밀번호를 암호화하지 않은 일반 문서에 그대로 적어두었다면 그 파일에 접근한 사람에게 여러 계정 정보가 한꺼번에 노출될 수 있습니다.

컴퓨터를 혼자 사용하는지, 파일 자체에 별도의 보호가 있는지, 클라우드로 자동 동기화되는지에 따라서도 상황은 달라집니다. 그래서 단순히 “파일에 적으면 안 된다”기보다 제가 지금 어떤 상태로 보관하고 있는지를 먼저 확인하는 것이 맞겠다고 생각했습니다.

전문 해설 | 비밀번호 관리자는 무엇이 다른가요?

비밀번호 관리자는 여러 사이트의 로그인 정보를 한곳에서 관리한다는 점에서는 파일과 비슷해 보입니다. 차이는 비밀번호를 보호된 저장소에 보관하고, 사이트마다 서로 다른 긴 비밀번호를 생성해 저장하거나 필요할 때 자동으로 입력할 수 있다는 데 있습니다.

NIST에서도 비밀번호 관리자와 자동 입력 기능을 허용하도록 하고 있습니다. 서로 다른 계정에 고유한 비밀번호를 사용하는 것은 한 사이트에서 유출된 비밀번호를 다른 사이트에 다시 대입하는 공격을 막는 데 중요하다고 설명합니다.

Google 비밀번호 관리자처럼 브라우저나 스마트폰에 연결된 기능을 이용하는 방법도 있습니다. Google에서는 계정마다 강력하고 고유한 비밀번호를 만들어 저장할 수 있고, 저장한 비밀번호가 노출된 것으로 확인될 경우 이를 알려주는 기능도 제공하고 있습니다.

저라면 기존 파일부터 없애지는 않을 것 같습니다

비밀번호 관리자를 알게 됐다고 해서 지금 사용하고 있는 파일을 당장 삭제하는 것도 불안합니다. 계정이 많다면 빠뜨리는 것이 생길 수 있고, 새로운 관리 방식에 익숙해지는 시간도 필요하기 때문입니다.

저라면 먼저 파일에 어떤 계정들이 들어 있는지 확인하고, 이메일이나 포털처럼 중요한 계정부터 하나씩 정리해볼 것 같습니다. 같은 비밀번호를 여러 곳에서 사용하고 있다면 그 계정부터 서로 다른 비밀번호로 바꾸는 것이 우선입니다.

수십 개 계정을 하루에 전부 바꾸려고 하면 오히려 일이 커질 것 같습니다. 자주 사용하는 계정 몇 개부터 옮겨보고 불편한 점이 없는지 확인한 뒤 범위를 넓히는 편이 저한테는 현실적으로 보입니다.

패스키까지 알아보니 비밀번호를 외우지 않는 방법도 있었습니다

비밀번호 관리 방법을 찾아보다가 패스키(passkey)도 다시 보게 됐습니다. 패스키는 비밀번호를 직접 입력하는 대신 기기에 저장된 인증 정보를 이용해 로그인하는 방식입니다.

예를 들어 Google 계정에서는 지문, 얼굴 인식 또는 휴대전화 화면 잠금 PIN 등을 이용해 로그인할 수 있습니다. Google은 패스키가 비밀번호처럼 공유하거나 복사하고 적어둘 수 있는 정보가 아니어서 피싱에 더 강하다고 설명합니다. 다만 패스키를 만든다고 모든 계정의 비밀번호가 한꺼번에 사라지는 것은 아닙니다. 서비스마다 지원 여부와 로그인·복구 방법이 다르기 때문에 우선 자주 사용하는 서비스에서 지원하는지 확인하고 하나씩 사용해보는 편이 좋겠습니다.

여러 비밀번호를 한곳에서 관리하는 만큼 비밀번호 관리자 자체의 보안도 중요합니다. 관리자에 사용하는 비밀번호는 다른 계정과 겹치지 않게 하고, 지원된다면 다단계 인증도 함께 설정하는 편이 좋습니다.

저도 이제 중요한 계정부터 방법을 바꿔보려고 합니다

지금까지는 비밀번호가 기억나지 않으면 파일을 열어 확인하는 것이 가장 익숙했습니다. 그렇다고 수많은 비밀번호를 전부 외우는 방법으로 돌아갈 수도 없습니다. 이번에 알아보니 문제는 기억력이 아니라 여러 계정을 관리하는 방식에 더 가까웠습니다.

그래서 우선 중요한 계정 몇 개부터 비밀번호 관리자를 사용해보고, 패스키를 지원하는 곳에서는 그것도 직접 써볼 생각입니다. 실제로 사용해본 뒤 지금의 파일 방식보다 편한지, 불편한 점은 무엇인지도 다시 정리해볼 수 있을 것 같습니다.

비밀번호를 자꾸 잊어서 재설정을 반복하고 있다면 더 복잡한 조합을 외우려고 애쓰기 전에 관리 방법부터 한번 점검해보는 것도 방법입니다.

컴퓨터와 스마트폰을 사용하면서 생기는 비슷한 문제와 해결 과정은 PC·디지털에서 함께 볼 수 있습니다.

자주 묻는 질문

Q. 비밀번호는 몇 달마다 바꾸는 게 더 안전한가요?
A. 현재 NIST 지침에서는 침해 증거가 없는 상황에서 비밀번호를 일정 기간마다 무조건 변경하도록 요구하지 않습니다. 유출이나 계정 침해가 의심되는 경우에는 변경해야 합니다.

Q. 대문자·소문자·숫자·특수문자를 모두 넣어야 안전한가요?
A. 사이트 자체에서 요구한다면 해당 조건을 따라야 하지만, NIST의 현재 지침은 이런 문자 조합 규칙을 강제하지 않도록 하고 있습니다. 길이와 유출된 비밀번호 사용 방지 등을 더 중요하게 봅니다.

Q. 비밀번호 관리자에 모든 비밀번호를 넣어도 괜찮을까요?
A. 비밀번호 관리자는 계정마다 서로 다른 비밀번호를 사용하기 쉽게 해주는 장점이 있지만 관리자 자체의 보호도 중요합니다. 마스터 비밀번호를 다른 계정에서 재사용하지 않고, 지원한다면 다단계 인증을 함께 설정하는 것이 좋습니다.

Q. 비밀번호 관리자는 꼭 돈을 내고 사용해야 하나요?
A. 꼭 그렇지는 않습니다. Google 비밀번호 관리자처럼 브라우저나 운영체제와 연결해 사용할 수 있는 기능도 있고 별도의 무료·유료 서비스도 있습니다. 자신의 기기와 사용 환경에 맞는 방법을 선택하면 됩니다.

Q. 패스키를 만들면 기존 비밀번호는 없어지나요?
A. 반드시 그렇지는 않습니다. 예를 들어 Google 계정은 패스키를 추가해도 기존 인증이나 계정 복구 수단이 자동으로 삭제되지 않습니다. 서비스마다 방식이 다르므로 설정할 때 확인해야 합니다.