비밀번호 관리자 사용법: 처음 설정할 때 확인할 5가지

비밀번호 관리자를 처음 설정할 때는 마스터 비밀번호를 다른 계정과 겹치지 않게 만들고, 관리자 계정에 2단계 인증을 켜고, 복구 수단을 먼저 확인한다. 그다음 자주 쓰는 계정부터 하나씩 서로 다른 비밀번호로 바꾼다.

별도 마스터 비밀번호로 보호하는 금고에서 시작할 때의 순서다. 제품의 잠금 해제·로그인 방식이 다르면 해당 제품의 안내를 따른다.

1. 마스터 비밀번호는 어떻게 만들어야 하나

비밀번호 관리자에 로그인하는 마스터 비밀번호는 다른 사이트에서 쓰지 않는 별도의 비밀번호로 만드는 게 좋다. (NIST - How Do I Create a Good Password?)

NIST는 비밀번호 관리자를 사용할 때 길고 기억하기 쉬운 마스터 패스프레이즈를 사용하는 방식을 권장한다. 핵심은 복잡한 규칙을 억지로 섞는 것보다 충분히 길고, 다른 계정에서 재사용하지 않는 것이다.

기준은 길이다. NIST는 비밀번호를 최소 15자 이상으로 만들라고 안내하고, 특수문자와 숫자를 반드시 섞으라는 요구는 더 이상 권장하지 않는다. 오래 써 온 “대문자·숫자·기호를 하나씩” 같은 규칙보다 자릿수가 중요하다는 뜻이다.

마스터 비밀번호 하나가 여러 계정의 저장소를 보호하기 때문에 다른 사이트와 같은 비밀번호를 쓰면 안 된다.

2. 비밀번호 관리자에도 2단계 인증이 필요할까

가능하면 켜 둔다.

NIST는 비밀번호 관리자 계정에 다중 인증(MFA)을 사용할 수 있는 제품을 선택하도록 권장한다. 마스터 비밀번호가 노출돼도 추가 인증 단계가 한 번 더 남기 때문이다.

처음 계정을 만들 때 2단계 인증 메뉴가 어디에 있는지 확인하고 바로 설정해두면 나중에 미루는 일을 줄일 수 있다.

SMS, 인증 앱, 패스키, 보안 키 중 무엇을 등록할지 결정하려면 2단계 인증 방법 비교에서 피싱 저항성과 복구 조건을 먼저 확인할 수 있다. 인증 앱을 선택했다면 인증 앱 설정과 복구 코드 관리의 등록·시험·분실 대비 순서까지 이어서 준비한다.

3. 새 비밀번호는 직접 만들어야 하나

그럴 필요는 없다. 대부분의 비밀번호 관리자에는 임의 비밀번호 생성 기능이 있다.

사람이 직접 사이트명 + 숫자 + 특수문자 같은 규칙을 만들면 사이트마다 비슷한 패턴이 반복되기 쉽다. 비밀번호 생성기를 이용하면 계정마다 길고 서로 다른 비밀번호를 만들기 편하다.

NIST도 계정마다 고유한 비밀번호를 사용하고, 비밀번호 관리자의 생성 기능을 활용하는 방식을 권장한다.

4. 휴대폰을 잃어버리면 계정을 어떻게 복구하나

이 부분은 문제가 생기기 전에 확인해 둬야 한다.

서비스마다 복구 코드, 비상 접근, 신뢰 기기, 계정 복구 방식이 다르다. 선택한 제품의 공식 복구 안내에서 금고 잠금 해제와 로그인 2단계 인증 복구 수단을 각각 확인한다.

복구 코드를 제공한다면 비밀번호 관리자 안에만 저장하지 말고, 별도의 안전한 장소에도 보관한다.

5. 어떤 계정부터 비밀번호 관리자로 옮기는 게 좋을까

아래처럼 중요한 계정부터 옮긴다.

• 이메일
• 금융·결제
• 클라우드 저장소
• 소셜 계정
• 업무 계정

그다음 평소 로그인할 일이 생길 때마다 나머지 계정의 비밀번호를 새로 생성해 저장하면 된다.

같은 비밀번호를 여러 사이트에서 반복해서 쓰는 습관을 줄이는 것이 가장 중요하다.

새 금고에 저장했다는 것과 로그인 성공은 다르다

메일 계정을 옮긴다면 다음 세 단계를 확인한다.

1. 서비스의 비밀번호 변경 화면에서 새 비밀번호를 적용한다. 금고 항목의 비밀번호만 수정하면 사이트 비밀번호는 바뀌지 않는다.
2. 기존 세션을 유지한 채 다른 창에서 새 금고의 값으로 로그인해 본다. 자동 로그인만 됐다면 새 비밀번호를 시험한 것이 아닐 수 있다.
3. 추가 인증과 복구 경로까지 확인한 뒤, 이전 금고의 낡은 항목을 정리한다. 검증 전에 기존 저장소를 한꺼번에 지우지 않는다.

이전용 CSV를 사용했다면 암호화되지 않은 비밀번호가 들어 있을 수 있다. 메일·공유 폴더로 보내지 말고, 가져오기 확인 후 임시 파일을 정리한다. 휴지통이나 동기화 사본에 남았는지도 확인한다. 내보내기 파일을 삭제해도 사이트 계정은 유지된다.

마스터 비밀번호의 길이와 복구 수단

NIST의 일반 사용자 안내는 15자 이상의 길이와 패스프레이즈를 권장한다. 한글 단어 네 개를 붙였다고 반드시 15자가 되는 것은 아니다. 서로 관련 없는 단어를 고르고 실제 입력 길이와 제품의 허용 문자 조건을 확인한다. 흔한 문장이나 개인정보를 조합하거나 공개된 예시를 그대로 비밀번호로 쓰지 않는다.

금고 밖 복구 수단이 필요한 이유도 구체적이다. 금고의 2단계 인증 복구 코드가 그 금고 안에만 있다면, 로그인할 수 없을 때 코드를 꺼낼 수 없다. 반대로 코드가 있다고 잊은 마스터 비밀번호로 암호화된 금고까지 항상 해독할 수 있는 것도 아니다. 제품별로 무엇을 복구하는 코드인지 표시해 안전한 별도 장소에 보관한다.

분실 기기가 있으면 서비스의 공식 분실 대응 절차를 따른다. 잠금 해제된 다른 기기는 복구에 도움이 될 수 있지만, 새 인증 수단 등록에 재인증이 필요할 수 있다. 복구 중 남은 유효 세션을 성급히 모두 닫지 않는다.

브라우저 저장 기능과 비교할 때

Google 비밀번호 관리자는 저장 항목의 메모와 가족 그룹 내 비밀번호 사본 공유를 제공한다. 공유를 중단하려면 해당 서비스의 비밀번호를 변경하라고 안내한다. (Google Chrome 도움말 - 비밀번호 관리와 가족 공유)

패스키도 어디에 저장했는지에 따라 관리하는 곳이 다르다. 비밀번호 관리자 앱에 저장했다면 그 앱에서, Windows 11 자체에 저장했다면 설정 → 계정 → 패스키에서 목록을 보고 지운다. (Microsoft 지원: 저장된 패스키 관리)

비교할 것은 내가 쓰는 운영체제·브라우저·앱에서 자동 완성이 되는지, 계정 복구와 내보내기를 지원하는지, 필요한 공유 권한을 관리할 수 있는지다. 자주 쓰는 서비스 몇 개에서 먼저 확인하면 전체 이전 뒤에 호환성 문제를 발견할 가능성을 줄일 수 있다.