home / login-hardening

로그인 보안을 정리하는 순서

재사용이 만드는 연쇄 피해

계정이 넘어가는 경로는 대부분 정교한 공격이 아닙니다. 어딘가에서 유출된 아이디와 비밀번호 조합을 다른 서비스에 차례로 넣어 보는 방식입니다. 같은 조합을 여러 곳에 쓰고 있다면 한 곳에서 생긴 사고가 나머지 전부로 번집니다. 그래서 보안 점검에서 효과가 가장 큰 조치는 복잡한 문자열을 만드는 것이 아니라 값을 서로 다르게 나누는 것입니다.

사람이 외울 수 있는 복잡한 문자열의 수에는 한계가 있습니다. 특수문자를 섞는 것보다 길이를 늘리는 쪽이 현실적입니다. 의미가 이어지지 않는 단어 네 개 정도를 붙여 만든 문장형 비밀번호는 외우기 쉬우면서 길이가 확보됩니다. 여기에 서비스마다 다른 짧은 구분자를 붙이면 관리 부담이 크게 줄어듭니다.

메일 계정을 먼저 분리해야 하는 이유

메일은 다른 모든 계정의 복구 창구입니다. 비밀번호를 잊었을 때 재설정 링크가 도착하는 곳이 메일이기 때문에, 메일이 넘어가면 나머지 계정이 순서대로 열립니다. 정리를 시작할 때 메일 계정을 가장 먼저 다른 어디에도 쓰지 않은 값으로 바꾸고 2단계 인증을 켜 두어야 하는 이유입니다.

1. 계정 목록을 적어 본다메일, 메신저, 금융, 가입해 둔 서비스를 한 번 훑어 적으면 같은 비밀번호를 쓰는 묶음이 보입니다.
2. 메일부터 단독 값으로 바꾼다복구 창구이므로 가장 먼저 처리합니다. 바꾼 뒤 로그인 기록도 함께 확인합니다.
3. 2단계 인증을 켠다인증 앱 방식이 문자 방식보다 안전합니다. 문자는 번호를 다른 기기로 옮기는 수법에 약한 면이 있습니다.
4. 복구 코드를 따로 보관한다인증 앱이 있던 기기를 잃어버리면 복구 코드가 유일한 통로입니다. 화면 캡처가 아니라 별도 장소에 둡니다.
5. 금융과 본인 확인 계정을 정리한다돈이나 신분 정보가 연결된 계정부터 단독 값으로 바꿉니다.
6. 로그인 기록을 확인한다접속 기기와 위치 기록을 제공하는 서비스가 많습니다. 모르는 항목이 있으면 즉시 세션을 종료하고 비밀번호를 바꿉니다.

저장 기능을 어디까지 쓸 것인가

브라우저 저장 기능은 편리하지만 기기를 잃어버리면 그대로 열립니다. 기기 잠금이 걸려 있고 자동 잠금 시간이 짧다면 위험이 줄지만, 공용 기기에서는 저장 기능을 쓰지 않는 편이 낫습니다. 비밀번호 관리 도구를 쓰는 경우에도 그 도구의 마스터 비밀번호만은 다른 어디에도 쓰지 않은 값이어야 합니다.

로그인 상태 유지 기능도 같은 기준으로 봅니다. 개인 기기에서는 편의를 위해 켜 둘 수 있지만 공용 기기에서는 꺼 둡니다. 토토사이트 관련 계정 사고에서 반복되는 원인 가운데 하나가 공용 기기에 남은 로그인 상태입니다. 사용을 마쳤으면 로그아웃까지가 한 묶음입니다.

이미 사설 경로에 계정을 만들었다면

그곳에 넘긴 정보는 회수할 방법이 없고, 탈퇴 처리를 했다고 해도 실제로 지워졌는지 확인할 수 없습니다. 지금 할 수 있는 일은 그 계정에 쓴 비밀번호를 공유하는 다른 모든 서비스를 먼저 바꾸는 것입니다. 연락처가 함께 넘어갔다면 이후 들어오는 권유 연락에 응답하지 않고 차단하는 쪽이 낫습니다.

• 서비스마다 다른 값을 쓰는 것이 복잡한 문자열을 만드는 것보다 효과가 큽니다.
• 메일 계정을 가장 먼저 단독 값으로 분리하고 2단계 인증을 켭니다.
• 복구 코드는 화면 캡처가 아니라 별도 장소에 보관합니다.
• 공용 기기에서는 저장 기능과 로그인 상태 유지를 사용하지 않습니다.
• 모르는 접속 기록을 발견하면 세션 종료를 먼저 하고 비밀번호를 바꿉니다.

토토사이트 보안 점검 항목 정리 문서로 돌아가기