비밀번호 뒤에 또 하나의 문

비밀번호가 새는 길은 대부분 생각하는 것보다 많다. 한 곳에서 유출되면 다른 곳에서 돌려 쓰던 비밀번호까지 드러나고, 훔친 자격 증명 한 벌이 여러 계정을 동시에 열어 준다. 진짜처럼 꾸민 로그인 화면은 입력한 글자를 그대로 받아 밖으로 넘긴다. 기기에 숨어 있는 악성 프로그램은 입력이 지나가는 순간 읽어 간다. 이런 상황에서 비밀번호 하나만으로 세우는 방어선은 얇고, 얇은 채로 여러 해가 지나갔다.

2단계 인증은 다른 길을 택한다. 몸에 지니는 자물쇠를 하나 더 다는 것이다. 로그인할 때 비밀번호가 있고, 그 위에 자기 휴대전화 안에만 존재하며 30초마다 바뀌는 코드가 있다. 비밀번호는 먼 나라에서도 복제할 수 있지만 두 번째 요소는 기기를 손에 쥐지 않고는 꺼낼 수 없다. 비밀번호를 아는 사람도 손에 없는 번호를 요구하는 문 앞에서 멈춘다.

이 생각을 일상으로 만든 것이 Google Authenticator 다. 이 분야의 시작이고 사실상의 표준이기도 하다. 생김새는 소박하다는 말이 어울릴 만큼 단순해서, 계속 돌아가는 여섯 자리 숫자가 한 줄 있을 뿐 눈길을 끄는 다른 요소가 없다. 그 단순함 뒤에 어떤 인증 앱보다 넓은 지원 범위가 있다. 많은 사이트가 인증을 켜라고 할 때 이 이름을 먼저 부르는 이유다.

3분이면 끝나는 계정 보강

설정은 처음 쓰는 사람에게도 부담이 없다. 일회용 비밀번호를 지원하는 사이트의 보안 설정을 열고 2단계 인증을 켠 다음, 이 앱으로 이차원 코드를 읽는다. 코드가 곧 나타나고 한 번 입력하면 연결이 끝난다. 이후 로그인에는 비밀번호와 현재 코드가 모두 필요하므로, 비밀번호만 주운 사람은 들어오지 못한다. 과정 전체가 차 한 잔 우리는 정도의 시간에 마무리된다.

오랫동안 가장 약한 곳은 아무도 광고하지 않던 한 가지였다. 기기를 바꾸면 키를 모두 잃고, 연결해 둔 계정의 입구도 함께 잃는 것이다. 이제 해결되었다. 키를 계정의 클라우드로 동기화해 둘 수 있고, 새 기기에서 로그인하면 한 번에 되살아난다. 이 보수가 잘 부서지던 도구를, 기기를 바꿔도 두려움 없이 들고 다닐 수 있는 것으로 바꿔 놓았다.

이것이 들리는 것보다 중요한 이유는 두 번째 요소가 다른 종류의 비밀이라는 데 있다. 비밀번호는 내가 아는 것이고, 아는 이상 나눌 수도 있고 추측되고 속아 넘겨지고 어깨 너머로 읽힌다. 돌아가는 코드는 내가 지닌 것이며, 내 곁의 기기 안에서 만들어지고 사본이 쓰이기 전에 만료된다. 두 가지 뚫리는 방식이 겹치지 않는다. 그래서 공격하는 쪽은 두 과제를 동시에 풀어야 하고, 두 번째는 첫 번째처럼 규모를 늘릴 수 없다. 일상의 쪽에서 보면 내 수고는 거의 늘지 않고 상대의 수고만 크게 뛴다는 뜻이다.

Google Authenticator 의 생각은 적을수록 안전하다는 것이다. 교류 공간도, 알림도, 군더더기도 없다. 로그인하려는 그 30초 동안만 조용히 여섯 개의 숫자를 건네고 한 걸음 물러난다.

권하는 방식도 분명하다. 먼저 메일, 클라우드 저장소, 결제에 연결된 계정에서 켠다. 이것들이 나머지 전부를 여는 열쇠이기 때문이다. 백업 키 화면이나 복구용 코드는 안전한 곳에 남겨 둔다. 휴대전화를 잃었을 때 그것이 마지막 버팀줄이 된다. 클라우드 동기화는 편리하지만, 가장 엄격한 태도를 원한다면 동기화하지 않고 오프라인으로 쓰는 선택도 남아 있다.

비용은 들지 않고, 끼어들지도 않으며, 두 모바일 환경을 모두 덮는다. 첫 인증 앱으로 이보다 권하기 쉬운 것은 없다. 3분의 설정으로 가장 중요한 계정들이 남은 열 수 없는 두 번째 자물쇠 안으로 들어간다.

이 어느 것도 앱을 볼만하게 만들지는 않는다. 그것이 의도다. 넘겨 볼 목록도, 지울 표시도, 눌러 보고 싶은 기능도 없다. 폴더 안에 있다가 로그인 화면이 여섯 자리를 요구할 때 깨어나고, 다시 조용해진다. 무언가를 지키는 도구는 대개 지루함으로 신뢰를 얻는다. 이 앱은 좋은 뜻에서 아주 오래 지루해 왔다.