복잡한 비밀번호, 이젠 안녕!

다양한 인증방식 나와

‘대문자와 소문자를 결합하고, 반드시 특수문자를 넣으세요.’

웹사이트 로그인을 위해 아이디와 비밀번호를 만들면서 위와 같은 안내 문구를 본 적이 있을 것이다. 비밀번호가 복잡하고 어려워야 해킹이 쉽지 않다는 이유다. 하지만 이렇게 복잡한 비밀번호를 기억하기 위해 사용자들은 대부분 사이트의 비밀번호를 같거나 비슷하게 만든다. 수첩에 적거나 기기·구글 계정에 비밀번호를 저장해둔다. 문제는 이렇게 만든 아이디·비밀번호 한 쌍이 유출되면, 다른 웹사이트 비밀번호까지 줄줄이 새어나갈 위협에 놓인다는 것이다. 지난 22일엔 앱·웹사이트 아이디 보안 관리 기업인 미국 옥타 서버가 해킹을 당하면서 하루 만에 시가총액 20억달러(약 2조6000억원)가 증발하는 일도 있었다.

복잡한 비밀번호도, 보안 전문 기업의 서버도 안전하지 않다 보니 글로벌 빅테크 기업들은 비번 관련 새로운 보안 기술을 속속 내놓고 있다. 구글과 아마존·애플 모두 최근 비밀번호가 없어도 얼굴·지문과 같은 생체 정보와 개인 식별 번호(PIN)만으로 로그인이 가능한 ‘패스키’ 기능을 전면 도입했다. 월스트리트저널은 “수십년간 이어져 온 비밀번호가 사라지고 있다”며 “혼란은 있겠지만, 장기적으로 비밀번호를 없애는 것이 더 안전하다”고 했다.

그래픽=김하경

◇지문 인증 2초면 끝, 열쇠는 오로지 내 폰에

패스키는 비밀번호를 기억하고 입력할 필요가 없다. 실제 구글에서 패스키를 설정하면, 안드로이드 스마트폰의 경우 지문 인증이나 PIN번호 입력 한 번에 로그인이 끝난다. PC에서 로그인할 때도 화면에 QR코드가 뜨고, 이걸 스마트폰으로 촬영해 지문을 인증하면 된다. 실제 해보니 비밀번호 오타로 다시 입력할 일이 없었고, 이 과정은 1~2초 정도만 걸렸다.

패스키는 높은 보안성을 자랑한다. 패스키는 내 스마트폰이나 기기에 ‘나만의 보안 열쇠’가 심어지는 방식이다. 예컨대 패스키가 열쇠라고 가정하면, 구글·아마존 등 플랫폼 기업들은 사용자와 열쇠 구멍만 공유한다. 이 열쇠구멍은 오로지 내 보안 열쇠로만 열 수 있는데, 열쇠는 내 기기에만 암호화돼 보관된다. 기업의 서버가 해킹을 당한다 해도 열쇠 구멍에 대한 정보뿐이고, 열쇠는 내 스마트폰에 있어 안전하다. 패스키(열쇠)가 있는 휴대폰을 물리적으로 탈취하지 않는 한, 해킹은 불가능하다. 승차공유 플랫폼 우버, 문서서명 서비스 도큐사인, 코딩 플랫폼 깃헙과 같은 IT 서비스들이 패스키를 이용한 로그인 기능을 속속 도입하는 것도 이러한 이유다.

◇“그래도 방심은 금물”

패스키 외에도 다양한 보안 소프트웨어가 등장하고 있다. 대표적인 것이 원패스워드(1Password)와 대시레인이다. 이 두 앱은 일종의 암호 관리 소프트웨어다. 여러 사이트·앱 비밀번호를 다시 암호화해 기기에 저장하고, 필요한 사이트의 비밀번호를 마스터키를 이용해 꺼내 쓰는 방식이다. 열쇠를 이중으로 두는 방식이라 수첩에 적거나 웹브라우저에 암호를 저장하는 방식보다 훨씬 안전하다. 기업처럼 여러 사람이 비밀번호를 공유해야 할 때 쓰기 편하다.

테크 업계에선 새로운 비밀번호 보안 기술이 널리 통용되려면 시간이 필요할 것으로 본다. 소비자들이 신기술을 받아들이는 데 시간이 걸리기 때문이다. 월스트리트저널은 “새로운 보안 기술이 완전히 비밀번호를 대체할 때까지, 비밀번호를 너무 짧거나 쉽게 만들면 해킹당할 수 있다”며 “아직 방심은 금물”이라고 했다.