보안 기초
이 태그가 달린 문서 19건
인터넷 사용 기록·쿠키·저장된 비밀번호 삭제 방법(컴퓨터·휴대폰의 Chrome, Safari, Edge, Firefox): 유출 후 무엇을 지우고, 먼저 무엇을 남길까
Chrome(Windows, Mac, Android, iPhone), Safari(Mac, iPhone, iPad), Edge, Firefox에서 인터넷 사용 기록, 쿠키(사이트 데이터), 캐시, 저장된 비밀번호, 자동 완성 데이터를 삭제하는 방법을 각 회사 공식 도움말의 표기에 따라 정리한 가이드입니다. 인터넷 사용 기록을 지워도 이미 복사된 것은 되돌릴 수 없으며 협박을 막는 수단도 아닙니다. 앞으로의 피해를 줄이는 것은 로그인 상태(쿠키)와 저장된 비밀번호에 대한 조치입니다. 안전한 기기에서 비밀번호를 변경하고 모든 세션에서 로그아웃하세요. 경찰에 신고할 생각이라면 삭제하기 전에 협박 이메일과 의심스러운 확장 프로그램을 기록해 두세요. 동기화가 켜져 있으면 삭제는 같은 계정의 다른 기기에서도 데이터를 지웁니다. 2026년 10월의 Onamae.com Desktop Cloud 사고에서 GMO인터넷의 여섯 번째 공지는 기기 점검이 끝날 때까지 브라우저 동기화를 끈 상태로 두라고 고객에게 요청하고 있습니다.
GDPR란: EU의 개인 데이터 보호 규칙과, 유출 시의 통지 의무
GDPR(General Data Protection Regulation)은 EU 역내 사람들의 개인 데이터를 보호하는 EU의 포괄적 규칙으로, EU 이용자에게 서비스를 제공하는 EU 밖의 사업자에게도 미칠 수 있다. 적법한 근거(동의 등), 명확한 목적, 데이터 최소화, 본인의 권리(열람·삭제), 유출 시 당국 통지(원칙 72시간 이내)를 요구하며, 중대한 위반에는 고액의 제재금이 있다. 기술적인 요점은 필요한 개인 데이터만 모으고 보유하며, 안전하게 지키고, 유출을 신속히 탐지해 보고할 수 있게 하는 것이다.
OWASP Top 10이란: 웹 앱에서 가장 중대한 10대 리스크의 표준 목록
OWASP Top 10은 비영리 단체 OWASP가 몇 년마다 공개하는 '웹 앱에서 가장 중대한 리스크' 목록으로, 개발자와 운영자의 공통 언어다. 최신 2025년판(2025년 11월 발표)도 1위는 접근 제어 미흡(Broken Access Control)이며, 보안 설정 오류가 2위로 올라섰고, 소프트웨어 공급망 실패와 예외 상황 처리 미흡이라는 두 카테고리가 새로 추가되었다. SSRF는 접근 제어 미흡에 통합되었다. 개별 공격 기법이 아니라 리스크의 카테고리이므로, 자신의 앱을 점검하는 관점으로 쓴다.
공개키 암호란: 공개키와 개인키 쌍으로 암호화·서명하는 구조
공개키 암호＝'공개키(누구에게 나눠줘도 되는 것)'와 '개인키(본인만 가지는 것)'의 쌍을 사용하는 방식. 공개키로 암호화한 것은 대응하는 개인키로만 복호화할 수 있고, 개인키로 만든 서명은 공개키로 검증할 수 있다. 이 비대칭성이 TLS(HTTPS)의 키 교환·전자서명·패스키의 토대. 방어의 요점은, 암호를 직접 만들지 않는다(검증된 구현을 쓴다)／개인키를 엄중히 관리·실효할 수 있게 한다／키 길이와 알고리즘을 최신 권장에 맞춘다는 것.
인증과 인가의 차이: 로그인만으로는 다른 사용자의 데이터를 지킬 수 없다
인증＝'누구인가'를 확인하는 것, 인가＝'그 사람이 무엇을 해도 되는가'를 정하는 것. 둘은 별개이며, 로그인을 붙인 것만으로는 인가가 되지 않는다. 데이터에 소유자(user_id) 스코프가 없으면 '로그인＝전체 데이터 열람'이 된다(OWASP 최상위의 Broken Access Control). 게다가 등록이 열린 채인 인증 스캐폴드가 겹치면 제3자가 등록해 로그인할 수 있다. 방어는, 모든 쿼리를 소유자로 좁히기／불필요한 등록 닫기／다층 방어／감사·접근 로그를 사고 나기 전에／신규 등록 탐지.
사람들은 비밀번호를 어떻게 보관할까? 데이터가 말하는 것 — 그리고 안전한 방법
대표성 있는 설문에 따르면 약 54%가 암기에 의존하고, 약 33%가 종이에 비밀번호를 적으며, 전용 비밀번호 관리자를 쓰는 사람은 약 36%에 불과합니다 — 그리고 약 25%가 비밀번호를 재사용합니다. 한편 Verizon DBIR은 침해의 약 38%에 자격 증명 유출이 관련되었고, 침해 데이터 속 비밀번호의 약 74%가 재사용된 것이었다고 밝혔습니다. 한마디로, 가장 흔한 보관 습관이 공격자가 가장 악용하기 쉬운 것입니다. 안전한 기본은 관리자(사이트마다 고유한 비밀번호)와 핵심 계정의 패스키/MFA입니다.
AI 시대의 보안: 지금 다잡아야 할 기본기 (우선순위 체크리스트)
AI는 새로운 약점을 만들기보다 기존 약점(패치 안 된 CVE, 재사용된 비밀번호, 노출된 시크릿)에 대한 공격을 주로 증폭한다 — 자동으로, 빠르게, 대규모로 찾아내며. 따라서 가장 좋은 대비는 기본기를 올바른 순서로 다잡는 것이다: CVE 패치 + 의존성 모니터링, 비밀번호 재사용 중지 + MFA, 노출 시크릿 제거, 최소 권한, 공개 표면 축소, 로그/IOC, 백업.
AI 시대에 효과가 있는 보안 대책과 없는 대책: 작은 사이트도 노려지는 이유
AI 시대의 네 가지 오해를 바로잡는다: (1) 너무 작아서 표적이 안 된다 → 자동화된 공격은 사람이 표적을 고를 필요가 없다; (2) 특별한 새 통제가 필요하다 → 여전히 기본기가 가장 효과적이다; (3) 제품이 안전하게 해준다 → 탐지보다 예방 설계가 먼저; (4) AI 코드는 빠르니 안전하다 → 취약점을 포함한 채 출시될 수 있으니 공개 전 검토. 통하는 것은 올바른 순서의 지루한 기본기다.
백업의 핵심: 3-2-1 규칙과 랜섬웨어를 견디는 복구 계획
'백업이 있다'로는 부족하다 — 복원할 수 있음을 검증한 백업만이 쓸모가 있다. 기본: 3-2-1 규칙(사본 3개, 매체 2종, 한 부는 외부). 랜섬웨어에는 '오프라인 또는 불변' 사본이 최소 하나 더 필요하다 — 늘 연결된 백업은 원본과 함께 암호화된다. 클라우드 동기화는 백업이 아니다(삭제와 암호화까지 복제한다). 버전 관리와 주기적 복원 테스트가 실천을 완성한다.
MFA를 제대로 고르기: '피싱 저항'이 무엇이고, SMS가 왜 약한가
MFA는 서로 다른 종류의 요소를 결합한다. 직접 입력하는 코드는 피싱으로 중계될 수 있고 SMS는 전화번호의 통제에도 의존한다. 중요한 계정에는 패스키나 FIDO2 보안 키 같은 피싱 저항 방식을 우선하고, 사용자 확인 요구와 복구 방법도 점검한다.
아직 Windows 10? 지원 종료 후 계속 쓸 때의 보안 위험
일반 Windows 10 Home/Pro 계열 22H2 지원은 2025년 10월 14일 종료되었습니다. 2026년 10월 16일 확인한 공식 안내에서 소비자 ESU는 2027년 10월 12일까지이며 기존 등록은 자동 연장됩니다. 기기의 등록·업데이트 상태와 지역 조건을 확인하고 업데이트가 제공되는 OS로의 이전을 우선하세요. LTSC/IoT와 기업용 ESU는 별도 제도입니다.
들고 다니는 노트북 지키기 — 도난, 분실, 어깨너머 훔쳐보기 방어
노트북을 들고 다니면 언젠가 잃거나 도난당한다고 전제하라. 주된 방어는 분실해도 내용이 새지 않게 설정해 두는 것이다: 디스크 암호화(BitLocker/FileVault), 짧은 자동 잠금이 있는 강한 로그인, 원격 잠금/위치 추적. HTTPS가 보편화돼 공용 Wi-Fi 도청은 우선순위가 낮고, 진짜 위협은 악성 AP, 어깨너머 훔쳐보기, 자리를 비우는 것이다. VPN을 과신하지 말고 — 먼저 기기를 단단히 하라.
비밀번호 관리자는 안전한가? 작동 원리, 클라우드 vs 로컬, 선택법
비밀번호 관리자는 서비스마다 강력하고 서로 다른 비밀번호를 쓰도록 돕는 도구입니다. 제로 지식 암호화는 제공자에서 암호화된 데이터가 유출되더라도 내용을 보호하기 위한 설계이지만, 안전성은 마스터 비밀번호 강도, 암호화 설정, 기기 보안에도 달려 있습니다. MFA로 무단 로그인을 방지하고 용도에 따라 클라우드나 로컬을 고르세요.
공용 Wi-Fi의 위험: 도청보다 가짜 액세스 포인트와 인증서 경고가 더 중요하다
공용 Wi-Fi '도청'은 HTTPS로 대부분 완화되어 이제 우선순위가 낮습니다. 진짜 위험은 (1) 이블 트윈 가짜 AP에 스스로 접속, (2) 인증서 경고 무시, (3) 공유 네트워크에 기기 노출입니다. 가장 효과적인 대책은 단순합니다: 폰 테더링을 쓰고, HTTPS와 인증서 경고를 신뢰하고, 모르는 SSID에 자동 접속하지 마세요. VPN은 그다음 계층입니다.
1인 개발자와 소규모 운영자를 위한 보안 베이스라인: 표준 통제를 우선순위 순으로
베이스라인은 '모두 똑같이 중요'가 아닙니다. 본 사이트의 우선순위: 1) 관리자 계정·도메인·이메일(MFA), 2) 시크릿과 코드, 3) 앱 자체, 4) 패치·탐지·복구. 시간이 유한할 때 위에서부터 채우세요. 심각한 침해는 대부분 새로운 공격이 아니라 이 기본 통제의 빈틈에서 옵니다.
조직 보안의 최소한: 2026년 일본 실제 사고에서 거꾸로 짚은 6가지 우선순위
조직의 '최소한'은 제품 목록이 아니라 실제 사고에서 뚫린 곳으로 정해야 합니다. 2026년 일본의 사고를 나란히 놓으면 침입구는 VPN 장비, 타사 소프트웨어, 조회 기능, 비공개로 제각각이지만, 피해를 키운 원인은 6가지로 정리됩니다. ①외부 노출 장비를 기한을 정해 막는다 ②유지보수·위탁·퇴직자 계정을 좁힌다 ③양과 시간을 감시한다 ④로그를 되짚을 수 있는 기간만큼 남긴다 ⑤필요 없는 데이터를 갖지 않는다 ⑥KEV로 우선순위를 다시 매긴다. 본 사이트의 결론 = 최소한이란 '누가, 어떤 숫자로, 언제 알아차리는가'를 정하는 것.
보안 인벤토리: 서버 여러 대를 운영하는 사람이 놓치는 7가지 점검
1인/소규모 운영자에게 사고는 통제의 부재보다 추적되지 않은 상태에서 옵니다. 경계는 키를 쥔 PC입니다. 다른 계정을 복구할 수 있는 계정 순서로(이메일 먼저) 2FA의 우선순위를 정하고, 어느 SSH 키가 어느 서버를 여는지 목록으로 만들어 중복·미사용 키와 남은 등록을 삭제하고, 클라우드의 평문 비밀번호를 제거하고, 한 번에 하나씩 되돌릴 수 있게 조치하고, 시크릿을 대장에 두지 마세요. 도구 추가 전에 인벤토리부터.
스마트폰 보안 기초: 비밀번호, 결제, 신분증을 담은 기기 하나를 지키기
폰은 2FA, 이메일, 뱅킹, 신분증을 한 기기에 집약하므로, 잃어버리면 많은 서비스에 영향이 미칩니다(단일 실패 지점). 가장 효과적인 보호는 보안 앱이 아닙니다: (1) 강한 잠금 + 짧은 자동 잠금(암호가 암호화 키); (2) 자동 OS/앱 업데이트; (3) 공식 스토어 + 권한 검토; (4) 원격 잠금/초기화 사전 설정; (5) 2FA 백업 보관. iOS/Android는 이미 기본으로 암호화·샌드박스합니다.
비밀번호를 Google Drive에 저장하면 안전한가? 제대로 보관하는 법
비밀번호를 평문 Google 문서/시트에 두는 것은 위험합니다: Google 계정 하나가 모든 비밀번호의 단일 실패 지점이 됩니다 — 계정 탈취, 악성 연결 앱, 피싱이 한꺼번에 누출시킵니다. 가장 안전한 선택은 전용 비밀번호 관리자입니다(동기화해도 내용은 암호화). Drive를 꼭 써야 한다면 암호화된 금고 파일만 저장하고 계정에 피싱 저항 MFA를 거세요.