LastPass의 정보유출에서 배우는 가장 안전한 비밀번호 관리방법 - 클라우드형은 위험?

암호의 관리방법으로서 유효한 것 중 하나가 싱글사인온(Single Sign-On)입니다. 싱글사인온(SSO)은 하나의 ID와 비밀번호로 인증하여 여러 웹서비스나 클라우드 서비스에 액세스 할 수 있습니다. 많은 서비스에 로그인을 할 수 있는 계정과 암호 등을 중앙에서 관리할 수 있는 매우 유용한 도구입니다.

클라우드 기반의 암호관리 도구는 과연 안전할까요?

과거, 보안에 정평이 나 있는 클라우드 기반 암호관리 도구인 'LastPass'가 해킹에 의한 정보유출이 발생했습니다.
유출된 정보는 이메일 주소, 비밀번호를 잊어버린 경우의 질문, 암호화될 때 부여되는 응보, 인증 해시 등이 유출된 것 같습니다. 유출된 사용자 수에 관련한 정보는 공개되어 있지 않지만, 암호화된 사용자 계정 데이터 및 사용자 계정에 대한 무단 액세스는 없었다고 합니다.

유출된 정보는 강력히 암호화가 되어 있어서, 암호가 해석되는 것은 아니라고 하지만, LastPass를 사용하는 모든 사용자에게 마스터 암호를 변경하도록 요청했습니다.

이 사건에 관하여 사용자가 피해를 입은 것은 아니었지만, 아무리 강력한 보안을 구축하고 있어도 해킹되는 경우가 있는 것 같습니다. 내부자에 의한 범행도 가능한 것입니다.

클라우드 기반 암호관리 도구 이외의 관리 방법

1. PC의 메모 기능으로 관리
2. 종이에 기록하여 관리
3. 머리로 기억
한 대기업 임원은 암호관리 도구가 충돌하여, 모든 암호를 상실한 이후 기억만으로 관리하고 있다고 합니다. 시도하면 의외로 가능합니다.


종합적으로 생각하면 결국 클라우드 기반 암호관리 도구를 사용하는 것이 가장 쉽고 안전하게 관리 할 수 있습니다. LastPass가 정보유출은 발생했지만, 강력한 암호화를 통해 피해는 없어, 결과적으로 보면 안전하다고 말할 수 있습니다. 그 점에서 뒤돌아보면 정보는 유출되었지만, LastPass는 자사의 보안성을 어필할 수 있는 값진 기회를 얻었던 것일지도 모릅니다.