어떤 앱도 이미 쓰는 비밀번호를 알아낼 수 없는 이유
비밀번호 생성기 앱의 별점 1점 리뷰에는 잊어버린 비밀번호를, 혹은 더 자주는 남의 비밀번호를 알아내 줄 거라 기대하고 설치한 사람들의 글이 꾸준히 쌓입니다. 그렇게 동작하지 않습니다. 그리고 왜 그런지 알아 두는 건 실제로 쓸모가 있습니다 — 그렇게 해 준다고 말하는 앱이야말로 위험한 쪽이기 때문입니다.
생성기는 만들 뿐, 읽지 않습니다
비밀번호 생성기는 주사위 굴리기입니다. 난수원에서 새 문자열을 뽑아 건네줍니다. 어떤 계정에서도, 어떤 웹사이트에서도, 다른 앱에서도 입력을 받지 않습니다. 기존 비밀번호를 조회할 수 있는 부분이 애초에 없습니다. 받은 적이 없으니까요.
지금 쓰는 비밀번호가 실제로 있는 곳
- 사이트 서버에, 해시 형태로. 제대로 운영되는 서비스는 비밀번호 자체를 저장하지 않습니다. 일부러 계산이 느리게 설계된 단방향 해시를 저장해서, 운영자조차 되읽을 수 없습니다. 사이트가 옛 비밀번호 대신 재설정 링크를 보내는 것도 이 때문입니다 — 정말로 갖고 있지 않습니다.
- 브라우저나 비밀번호 관리자에, 암호화되어. 내 기기와 내 계정에 묶여 마스터 비밀번호나 기기의 보안 하드웨어 뒤에 있습니다. 안드로이드는 한 앱이 다른 앱의 저장된 자격증명을 읽도록 두지 않습니다.
- 머릿속이나 종이에. 소프트웨어가 끼어들 자리가 없습니다.
휴대폰의 평범한 앱은 이 중 어디에도 닿을 수 없습니다. 운영체제가 앱 저장소를 서로 격리하도록 설계되어 있고, 그 격리가 아무렇게나 받은 앱과 내 기기의 모든 것 사이를 막고 있는 주된 장치입니다.
알아내 준다는 앱이 실제로 하는 일
- 광고만 보여주기. 가장 흔하고 그나마 덜 해로운 경우입니다. 지키지 않을 약속으로 설치를 긁어모으는 껍데기입니다.
- 접근성·알림 권한 요구. 이 권한들은 화면 내용을 읽을 수 있습니다. 비밀번호를 '복구'한다며 이걸 원하는 앱은 당신이 입력하는 모든 것을 보겠다고 하는 겁니다.
- 대놓고 피싱. '복구'할 계정과 비밀번호를 입력하라는 양식을 띄우고, 입력한 것을 그대로 누군가에게 보냅니다.
비밀번호를 가져오겠다며 접근성 서비스 권한, 알림 접근 권한, 혹은 다른 서비스의 로그인 정보를 요구하는 앱이 있다면 닫고 삭제하세요. 정상적인 도구는 그중 어느 것도 필요하지 않습니다.
계정을 실제로 되찾는 방법
- 서비스의 재설정 기능을 쓰세요. '비밀번호 찾기'가 메일이나 문자로 링크를 보냅니다. 이게 유일하게 통하는 길이고, 메일 계정에 가장 강한 비밀번호를 줘야 하는 이유이기도 합니다.
- 브라우저와 시스템 비밀번호 관리자를 확인하세요. 안드로이드라면 설정 → Google → 자동완성, 또는 브라우저의 저장된 비밀번호. 본인 확인을 거치면 저장된 값을 보여줍니다.
- 고객지원에 문의하세요. 옛 비밀번호를 알려주지는 못하지만, 본인 확인 후 계정을 재설정해 줄 수 있습니다.
- 그다음 새로 만들어 내가 통제하는 곳에 보관하세요.
와이파이 비밀번호는 조금 다릅니다
이건 실제로 답이 있습니다. 이미 연결된 네트워크라면 설정 → 네트워크 및 인터넷 → 해당 네트워크 → 공유 에서 화면 잠금을 푼 뒤 저장된 비밀번호를 볼 수 있습니다. 앱이 비밀을 알아낸 게 아니라 내 기기가 내 자격증명을 보여주는 것입니다. 연결된 적 없는 네트워크라면 정상적인 방법이 없고, 해 준다는 앱은 남의 공유기를 공격하겠다는 제안입니다.
Lockmint
Lockmint 는 이 이야기를 첫 화면에 적어 둡니다. 흔한 오해라서 다른 무엇보다 먼저 짚을 값어치가 있기 때문입니다. 무작위 문자·단어 조합·숫자 PIN 을 새로 만들 뿐이고, 광고 SDK 외에 인터넷 권한이 없으며, 접근성 권한도 없고, 다른 앱이 저장한 것을 읽을 방법도 없습니다.