"비밀번호 관리자 — 그 한곳이 뚫리면 전부 끝장 아닌가?" 가장 흔한 걱정에 작동 원리부터 정직하게 답합니다. 공격 절차는 없습니다 — 오직 왜 안전한가, 그리고 당신에게 맞는 것을 어떻게 고르는가뿐입니다.
암호화가 보호하는 것과 남는 위험
두려움은 실재합니다: 그 한곳이 뚫리면 전부 새어 나갈 수 있다는 것. 제로 지식 암호화가 그 대부분에 답합니다.
여기서 따라 나오는 실천 규칙 하나: 마스터 비밀번호를 길고, 유일하며, 절대 기기 밖으로 내보내지 않게 하세요. 약한 것은 탈취된 금고를 오프라인에서 시간을 들여 무차별 대입할 여지를 남깁니다. 강도는 비밀번호 강도 검사기로 가늠하세요.
MFA는 계정의 무단 로그인을 방지하지만 탈취된 암호화 데이터에 대한 비밀번호 추측을 막지는 못합니다. 기기·브라우저·앱의 보안도 별도로 필요합니다. 제공자의 위협 모델에서도 기기 침해와 웹 클라이언트 배포 경로 등을 다룹니다.
실제로 도움이 되는 세 가지 보호
여기엔 "외우지 않아도 되는 금고" 이상의 가치가 있습니다.
가장 돋보이는 것은 피싱 저항 자동 입력입니다. 사람은 거의 똑같은 가짜 도메인을 알아채기 힘들지만, 관리자는 등록된 도메인이 일치하지 않으면 입력하지 않으므로 — "어, 입력이 안 되네"가 가짜 사이트라는 단서가 됩니다. 스프레드시트에서 손으로 복사하는 데는 이런 것이 전혀 없습니다.
클라우드 vs 로컬 — 용도로 고른다
여기서 소개한 제품은 기기 측 암호화를 사용합니다. 암호화 대상, 복구 방법, 동기화와 백업의 안전 조건은 제품과 설정별로 확인하세요. 큰 차이 중 하나는 동기화를 누가 관리하는가입니다.
클라우드 (Bitwarden / 1Password)
- 모든 기기 간 자동 동기화와 공유
- 백업·복구 경로가 내장
- 내용은 암호화된 채 유지(제공자는 읽지 못함)
- 마찰이 적음 = 계속 쓰기 쉬움 — 대부분의 사람에게 맞음
로컬 (KeePass 등)
- 암호화된 파일(.kdbx)을 Drive 등에 직접 둠
- 제공자를 전혀 끼우고 싶지 않은 사람용
- 동기화·백업은 당신의 책임
- 오프라인 우선, 완전한 직접 관리
둘 다 안전하게 만들어졌습니다. 계속 쓸 것을 기준으로 고르세요. 매일 쓰는 평범한 도구가, 버려두는 완벽한 도구보다 당신을 더 지킵니다.
안전하게 고르는 법(체크리스트)
제로 지식(기기 측 암호화)
비밀번호 관리 서비스 계정 로그인에 MFA
복구 경로가 있는가
쓰는 모든 기기를 지원하는가
시작하고 이전하는 법
하나 골라 설치한다
마스터 비밀번호를 길고 유일하게
비밀번호 관리 계정·복구 이메일·주요 계정에 MFA
기존 비밀번호를 가져온 뒤, 약한 것부터 갱신
평문 사본을 완전히 삭제한다
지원되는 곳은 패스키로 이동
전용 관리자 vs 내장 기능 vs 브라우저 저장
클라우드형과 로컬형 관리자 외에, OS나 브라우저에 내장된 비밀번호 저장 기능이라는 세 번째 선택지가 있습니다.
| 전용(클라우드) | 전용(로컬) | OS 내장(iPhone '암호' 앱, Google 비밀번호 관리자) | |
|---|---|---|---|
| 비용 | 무료 플랜 또는 유료 | 무료(KeePass 등) | 추가 비용 없음 |
| 기기 | Windows, Mac, iPhone, Android를 넘나들며 사용 | 동기화는 직접 준비 | 주로 한 회사의 기기와 브라우저 |
| 가족·팀 공유 | 강함 | 손이 많이 감 | 일부 |
| 유출·재사용 경고 | 있음(제품·플랜에 따라 다름) | 플러그인으로 | 있음 |
| 적합한 사람 | 여러 플랫폼을 섞어 쓰는 사람, 공유가 필요한 사람 | 동기화를 직접 관리하고 싶은 사람 | 모든 기기가 한 회사 제품인 사람 |
내장 기능도 생성과 자동 입력을 쓰면 서비스마다 다른 비밀번호를 쓸 수 있습니다. 플랫폼을 넘나들 필요가 생겼을 때 전용 관리자로 옮기는 순서도 충분히 괜찮습니다.
내 설정을 점검하는 방법
설치로 끝내지 말고, 다음 설정을 한 번 확인하세요.
키 도출 방식(KDF)을 확인한다
마스터 비밀번호를 키로 바꾸는 키 도출 함수(KDF)가 무거울수록, 탈취된 암호문을 무차별 대입하기 어려워집니다. Bitwarden에서는 웹 앱의 "Settings"(설정) → "Security"(보안) → "Keys"(키)에서 확인하며, 기본값은 PBKDF2 SHA-256 600,000회이고 Argon2id도 고를 수 있습니다. 오래된 계정이라면 설정이 현재 권장값과 맞는지 확인하세요.
복구 정보를 비밀번호 관리자 바깥에 보관한다
1Password는 마스터 비밀번호에 더해 34자의 Secret Key를 쓰며, 이는 Emergency Kit에 인쇄되어 있습니다. Bitwarden에서는 2단계 로그인 복구 코드를 적어 두세요. 어느 쪽도 금고 안에만 두지 말고, 인쇄해 집의 정해진 곳에 보관합니다.
비밀번호 관리자 자체의 MFA를 확인한다
SMS보다 패스키, 하드웨어 키, 인증 앱을 우선하세요(→ MFA 가이드).
자동 잠금 시간을 확인한다
브라우저 확장과 앱이 일정 시간 사용하지 않거나 브라우저를 닫으면 잠기는지 확인하세요. 가족과 함께 쓰는 PC라면 짧게 설정합니다.
흔한 실수와 고치는 법
- 마스터 비밀번호를 다른 서비스와 같게 쓴다: 그 서비스에서 유출되면 금고의 열쇠가 드러납니다. 마스터 비밀번호는 다른 곳에서 쓰면 안 됩니다.
- 복구 코드나 Emergency Kit을 금고 안에만 둔다: 잠겼을 때 꺼낼 수 없습니다. 종이 등 바깥에 사본을 두세요.
- 이전 후에도 브라우저의 비밀번호 저장을 켜 둔다: 비밀번호가 두 곳에 나뉘고 오래된 것이 남습니다. 이전한 뒤에는 브라우저 저장을 끄고 저장된 내용을 삭제하세요.
- 금고를 잠그지 않은 채 자리를 뜬다: 짧은 자동 잠금을 설정하세요.
실제 사례: 제공자가 침해되었을 때 무엇이 지켜졌나
2022년 12월, LastPass는 공격자가 고객 금고 데이터의 백업을 복사해 갔다고 공개했습니다. 회사에 따르면 웹사이트의 사용자 이름, 비밀번호, 보안 메모, 양식 입력 데이터는 256비트 AES로 암호화된 상태였고, 각 사용자의 마스터 비밀번호에서 도출한 키로만 복호화할 수 있습니다.
같은 공지에는 다음 내용도 있었습니다.
- 금고 안의 웹사이트 URL은 암호화되지 않은 부분에 있었다
- 계정 정보도 복사되었다: 회사 이름, 최종 사용자 이름, 이메일 주소, 청구지 주소, 전화번호, 고객이 접속한 IP 주소
- 기본 설정(PBKDF2 100,100회)과 강한 마스터 비밀번호라면, 이를 추측하는 것은 매우 어렵다
교훈은 이렇습니다. 제로 지식 설계는 내용을 지켜 주지만, 최종적으로 중요한 것은 마스터 비밀번호의 강도와 키 도출 설정입니다. 또 어떤 사이트에 계정이 있는지가 알려지면, 그 사이트를 사칭한 피싱 메일에 이용될 수 있습니다. 제공자가 침해를 공개했다면 마스터 비밀번호와 중요한 계정의 비밀번호 변경을 검토하세요.
본 사이트의 견해: 마스터 비밀번호와 금고 MFA를 지키고, 계속 쓸 도구를 고르라
본 사이트는 시크릿(비밀번호, 키, 접속 정보)을 공유 문서나 코드에 평문으로 두지 않고 일상 로그인은 비밀번호 관리자로 관리합니다. 길고 유일한 마스터 비밀번호와 적절한 암호화 설정에 더해 무단 로그인을 방지하는 MFA를 설정합니다. 기기·앱 업데이트, 자동 잠금, 복구 정보 보관도 별도로 확인합니다. 도구는 안전 조건과 계속 쓸 수 있는지를 함께 고려해 고르세요.
다음으로 읽기
- 유출 확인: 내 비밀번호가 유출됐는지 확인하는 법(Have I Been Pwned)
- 실제 사례: 티빙 개인정보 유출(2026년) — 이용자가 지금 할 일
- 보관: 비밀번호를 안전하게 보관하기(평문 그만)
- 작동 원리: 서비스는 어떻게 저장해야 하는가(해싱 + 솔트)
- 2단계: 다단계 인증(MFA) 가이드
- 패스워드리스: 패스키란 무엇인가(지원되는 곳은 이동)
- 구현하는 쪽: 비밀번호 재설정의 설계 결함 — 재설정이 약한 경로라면 강한 비밀번호도 소용없다
- 기준: 보안 베이스라인 체크리스트
- 도구: 비밀번호 강도 검사기
- 데이터: 사람들은 실제로 비밀번호를 어떻게 보관하는가(조사 데이터)
- 유출 뒤에: 인터넷 사용 기록·쿠키·저장된 비밀번호 삭제 방법(Chrome, Safari, Edge, Firefox)
출처
- LastPass, "Notice of Recent Security Incident"(2022년 12월 22일): blog.lastpass.com
- Bitwarden Help, "Encryption Key Derivation": bitwarden.com
- Bitwarden 「Security Whitepaper」 위협 모델: bitwarden.com
- 1Password Support, "About your Secret Key": support.1password.com
- NIST, "SP 800-63B-4"(2025년 8월), 비밀번호 관리자와 붙여넣기 허용: pages.nist.gov
업데이트 내역
- 2026-10-20: 암호화 데이터 유출 시의 안전 보장 범위를 한정하고 MFA, 복호화 저항성, 기기 보안을 구분해 수정했습니다. 이번 수정은 제한된 범위의 정정이며 기존 사고 공표 수치와 제품 기능 전체를 재검증한 것은 아닙니다.