💡 멀티팩터 인증(MFA)이 없는 비밀번호 관리자는 자물쇠 없는 금고입니다. 플랫폼별 지원 수준까지 꼼꼼히 확인하세요.
멀티플랫폼 지원과 MFA, 왜 함께 봐야 할까요
얼마 전에 IT 업계에 종사하는 30대 초반 지인이 흥미로운 이야기를 했습니다. 보안 설정을 꼼꼼히 해뒀다고 생각했는데, 회사 지급 맥북에서 쓰던 비밀번호 관리자가 개인 안드로이드 폰에서는 MFA 방식이 달라지는 걸 몰랐다는 거예요.
데스크탑에서는 TOTP 앱으로 인증했는데, 모바일에서는 이메일 인증으로 폴백되는 설정이 기본값이었던 겁니다. 이메일이 이미 피싱으로 노출된 상태였다면 큰일 날 뻔했죠.
이게 핵심입니다. 멀티플랫폼 지원을 이야기할 때는 단순히 “iOS, 안드로이드, 윈도우, 맥 다 되나요?”만 물어서는 안 됩니다. 각 플랫폼에서 동일한 수준의 MFA가 적용되는지까지 확인해야 합니다.
잠깐, 이건 꼭 알아야 해요. 플랫폼마다 MFA 방식이 다르게 적용되는 앱들이 생각보다 많습니다. 그 차이를 모르고 쓰다가 취약한 고리가 생기는 경우가 있거든요.
2단계 인증 방식 종류와 실제 보안 강도
💡 SMS 인증은 2단계 인증 중 가장 약한 방식입니다. 가능하면 TOTP나 하드웨어 키로 올려야 합니다.
2단계 인증(2FA)에도 종류가 여러 가지입니다. 편의성과 보안 강도가 반비례하는 경향이 있어요.
SMS 인증이 가장 흔하지만 가장 취약합니다. SIM 스와핑 공격으로 전화번호를 탈취당하면 SMS 인증은 무력화됩니다. 국내에서도 이런 피해 사례가 있었어요.
그런데 말이에요, 아직도 많은 서비스에서 SMS를 기본 2FA로 쓰고 있습니다. 없는 것보다는 낫지만, 더 강한 방식이 있다면 올려야 합니다.
TOTP(시간 기반 일회용 암호)는 Google Authenticator나 Authy 같은 앱으로 30초마다 바뀌는 6자리 코드를 생성합니다. SMS보다 훨씬 안전합니다. 인터넷 연결 없이도 작동하고, 전화번호를 탈취당해도 영향이 없어요.
가장 강한 건 FIDO2/WebAuthn 기반 하드웨어 키입니다. YubiKey가 대표적이에요. 물리적인 키를 꽂거나 터치해야 인증이 되기 때문에, 피싱 사이트에서 아이디와 비밀번호를 다 입력해도 하드웨어 키 없이는 로그인이 안 됩니다. 피싱 공격에 대한 실질적 면역이라고 할 수 있어요.
주요 비밀번호 관리자의 멀티플랫폼 MFA 지원 현황
💡 모바일에서도 데스크탑과 동일한 MFA 강도가 적용되는지 반드시 확인하세요.
플랫폼별 MFA 지원 수준을 직접 정리했습니다. 공식 문서와 실제 테스트를 병행해서 확인한 결과입니다.
여기서 눈에 띄는 게 Dashlane과 NordPass입니다. 모바일에서는 생체인증이 되는데 데스크탑에서는 안 됩니다. 플랫폼간 일관성이 떨어지는 거죠.
반면 1Password는 전 플랫폼에서 동일한 MFA 경험을 제공합니다. 멀티플랫폼 지원이 가장 균일한 편이에요.
OTP 앱과의 연동, 이렇게 설정하는 게 맞습니다
💡 비밀번호 관리자 자체에 OTP를 저장하면 단일 실패 지점이 됩니다. OTP 앱은 별도로 유지하는 게 안전합니다.
흥미로운 딜레마가 있습니다. Bitwarden, 1Password 모두 앱 내에 TOTP 코드를 저장하는 기능을 제공합니다. 편리하죠. 비밀번호랑 OTP를 한 앱에서 다 관리할 수 있으니까요.
근데요, 보안 전문가들은 여기서 의견이 갈립니다. OTP 코드까지 비밀번호 관리자에 저장하면, 그 앱 하나가 털렸을 때 2단계 인증 자체가 무의미해진다는 거예요. 비밀번호와 OTP를 동시에 탈취당하는 거니까요.
그래서 보안에 민감한 분들은 TOTP 앱을 분리해서 씁니다. Authy나 Aegis(안드로이드), Raivo(iOS) 같은 전용 TOTP 앱을 별도로 유지하는 거예요.
솔직히 이 부분은 저도 처음엔 귀찮아서 한 앱에 다 넣었습니다. 그런데 보안 원칙상 분리하는 게 맞고, 결국 분리하는 방향으로 바꿨습니다. 조금 불편하지만 그게 맞더라고요.
flowchart TD
A[로그인 시도] --> B[비밀번호 입력]
B --> C{MFA 방식}
C -->|SMS| D[전화번호로 코드 전송]
C -->|TOTP| E[Authy/Aegis 앱 확인]
C -->|하드웨어 키| F[YubiKey 터치]
C -->|생체인증| G[지문/얼굴 인식]
D --> H[SIM 스와핑 취약]
E --> I[중간 수준 보안]
F --> J[최강 수준 보안]
G --> K[편의성 최고]
H --> L[⚠️ 위험 수준]
I --> M[✅ 권장]
J --> N[✅✅ 최우선 권장]
K --> M
보안 토큰 연동과 모바일 지원의 실전 포인트
💡 YubiKey 같은 하드웨어 보안 키는 피싱에 거의 완벽히 대응합니다. 다만 분실 시 대비책을 반드시 마련해두어야 합니다.
YubiKey를 실제로 써보면, 처음엔 USB 꽂는 게 번거롭게 느껴집니다. 한 달쯤 지나면 그냥 습관이 됩니다.
모바일에서는 NFC 지원 YubiKey를 폰에 갖다 대는 방식으로 인증합니다. 아이폰도 iOS 13 이후부터 YubiKey NFC를 지원합니다. 처음엔 신기했는데, 이제는 가장 빠른 인증 방법이 됐어요.
아 그리고 중요한 점. YubiKey를 쓴다면 반드시 백업 키를 하나 더 구입해야 합니다. 키를 잃어버리거나 고장나면 계정 접근이 완전히 막힐 수 있거든요. 이건 진짜예요. YubiKey를 잃어버린 후 계정 복구 과정이 너무 힘들었다는 사례가 커뮤니티에 종종 올라옵니다.
멀티플랫폼 지원을 고려할 때 한 가지 더 체크할 게 있습니다. 브라우저 확장 프로그램의 MFA 동작입니다. 크롬과 파이어폭스에서 동일하게 MFA가 요구되는지, 아니면 한번 인증하면 브라우저를 바꿔도 유지되는지 방식이 앱마다 다릅니다.
Bitwarden은 기기당 세션을 분리해서 관리합니다. 새 기기나 새 브라우저에서 접근하면 MFA를 다시 요구합니다. 1Password는 신뢰 기기 등록 시스템으로 관리하고요.
이건 저만 그런 건가요? Bitwarden 방식이 약간 번거롭지만 더 안전하다고 느껴지는 게. 매번 인증하는 게 귀찮아도, 모르는 사이에 다른 기기에서 접근하는 걸 막아주는 역할을 하니까요.
나한테 맞는 MFA 전략은 이겁니다
💡 보안 수준은 높일수록 좋지만, 너무 복잡하면 결국 안 쓰게 됩니다. 지속 가능한 수준에서 가장 강한 방식을 선택하세요.
상황별로 정리하겠습니다.
- IT 환경에 익숙하고 최고 수준의 보안이 필요하다면 → Bitwarden + YubiKey 2개(메인+백업). 셀프 호스팅까지 하면 금상첨화.
- 편의성과 보안을 균형 있게 원한다면 → 1Password + TOTP(Authy 별도). 전 플랫폼에서 가장 균일한 경험.
- 비용 부담 없이 좋은 MFA를 원한다면 → Bitwarden 무료 + Aegis(안드로이드) 또는 Raivo(iOS). 충분히 강합니다.
- 모바일을 주로 쓴다면 → 생체인증 지원이 전 플랫폼에서 균일한 앱 선택. 1Password나 LastPass가 이 면에서 낫습니다.
비밀번호 관리자를 아직 안 쓰고 계신다면, 오늘 당장 하나를 선택해서 설정하는 게 최선입니다. 완벽한 설정을 기다리다가 아무것도 안 하는 것보다, 지금 당장 80점짜리 보안이 훨씬 낫습니다.
멀티플랫폼 지원 여부를 꼭 먼저 확인하세요. 쓰는 기기가 여러 개라면, 한 기기에서만 MFA가 적용되는 건 보안에 구멍이 생기는 거니까요.
답글 남기기