2024년 1Password 리뷰: 안전한 비밀번호 관리 프로그램일까요?

군사용 보안 기능을 제공하는 1Password

1Password는 보안 조치를 매우 중요하게 생각하고 있습니다. 1Password는 업계 표준 AES 256비트 암호화와 고급 보안 프로토콜을 통해 비밀번호와 기타 중요 정보를 안전하게 보호합니다.

1Password 보관함에 저장한 정보는 엔드투엔드 방식으로 암호화됩니다. 따라서 1Password는 보관함에 어떤 정보를 저장했는지 확인할 수 없으며 저장한 정보의 암호를 해독하는 키는 사용자만이 보유하게 됩니다. 1Password에서는 사용자만 알 수 있는 ‘마스터 비밀번호’를 설정해 데이터를 암호화할 수 있습니다.

또한 1Password는 비밀번호가 서버로 전송되는 중에도 전송 계층 보안(TLS)와 보안 원격 비밀번호(SRP)를 통해 비밀번호를 보호합니다. 모든 보안 기능의 상세 목록은 다음과 같습니다.

AES 256비트 암호화

1Password는 은행과 군사 조직이 데이터를 보호하기 위해 사용하는 AES 256비트 암호화로 데이터를 보호합니다. 덕분에 해킹이나 사이버 범죄로 인해 비밀번호가 유출될 걱정이 없습니다.

마스터 비밀번호 및 암호 키 보호

1Password는 데이터를 위한 이중 보안을 제공합니다. 1Password에서는 자신만 알 수 있는 마스터 비밀번호를 생성해야 하며 앱은 회원가입 중 비밀 키를 생성합니다. 비밀 키는 마스터 비밀번호와 조합해 데이터를 암호화하고 암호를 해독하는 데 사용됩니다. 가장 마음에 들었던 점은 데이터 유출을 방지하기 위한 다중 보안 확인과 인증 과정이 자동으로 진행되었다는 것입니다.

또한 1Password는 회원가입한 장치에 비밀 키를 자동으로 저장하는 동시에 비밀 키가 담긴 긴급 키트 PDF 문서를 생성했습니다. 덕분에 비밀 키를 오프라인으로도 보관해 놓을 수 있었습니다. 데이터에 접근하려면 마스터 비밀번호와 34자리로 구성된 비밀 키가 필요합니다. 따라서 마스터 비밀번호와 비밀 키 중 하나가 유출되더라도 제3자가 보관함에 접근할 수 없습니다.

PBKDF2로 무차별 대입 공격 보호

1Password는 키 파생 함수를 사용해 계정의 무차별 대입 공격을 방지합니다. 1Password는 사용자가 마스터 비밀번호를 생성하면 알고리즘이나 사이퍼를 통해 데이터를 암호화하고 암호를 해독하는 데 사용되는 키를 생성합니다. 일부 해커는 특수 컴퓨터 하드웨어와 소프트웨어를 통해 비밀번호를 무차별로 입력하는 무차별 대입 공격을 시도합니다.

1Password는 PBKDF2를 통해 무차별 대입 공격을 방지하는 키를 생성합니다. 계정 비밀번호와 솔트는 10만 번의 반복을 통해 PBKDF2-HMAC-SHA256로 전달됩니다. 이는 해커가 수백만 번의 무차별 대입 공격을 시도하더라도 암호화된 데이터를 쉽게 해독할 수 없음을 의미합니다.

보안 입력 및 자동 잠금

1Password는 입력 필드가 키로거 프로그램을 방지한다고 광고하지만 완벽히 방지하는 것은 아닙니다. 키로거(keylogger)는 컴퓨터에서 입력한 키를 기록하는 컴퓨터 프로그램입니다. 키로거 프로그램을 사용하면 비밀번호를 포함해 입력한 값을 파악할 수 있습니다.

1Password는 웹사이트에서 ‘데이터를 키로거로부터 보호한다’라고 주장하며, ‘1Password는 보안 입력 필드를 통해 마스터 비밀번호를 포함해 입력한 값을 알 수 없도록 한다’라고 주장하고 있습니다.

이러한 주장을 테스트해 보기 위해 윈도우 PC에 키로거를 설치하고 입력한 키가 기록되는지 확인해 봤습니다. 테스트 결과 안타깝게도 1Password 앱에서 입력한 값과 마스터 비밀번호까지도 기록된 것을 확인할 수 있었습니다. 이에 대해 1Password 측에 문의한 결과 상담원은 1Password가 이미 보안 문제가 발생한 장치는 보호하지 않는다고 답변했습니다.

1Password 웹사이트에서는 키로거를 방지한다고 표시되어 있었기 때문에 상담원의 답변이 의심스러웠으며 1Password의 신뢰성에도 의문을 제기하게 되었습니다.

하지만 1Password가 클립보드에 저장된 정보를 정기적으로 제거한다는 것은 장점입니다. 덕분에 누군가 장치에 접근하더라도 클립보드의 정보는 확인할 수는 없습니다. 또한 1Password는 클립보드 도구가 클립보드 데이터에 접근하는 것을 방지하며 90초마다 클립보드의 정보를 삭제합니다.

1Password는 인가되지 않은 사람이 보관함에 접근하는 것을 방지하기 위해 10분 동안 활동이 없을 시 앱을 자동으로 잠금 처리합니다. 또한 자동으로 잠금 시간을 조정할 수도 있습니다. 잠금 시간은 1분부터 1시간까지 설정할 수 있으며 ‘never’를 선택하면 자동 잠금 기능을 완전히 비활성화할 수 있습니다. 잠금 시간을 5분으로 설정한 결과 설정한 대로 잠금 처리가 되는 것을 확인할 수 있었습니다. 또한 1Password 앱은 맥, 아이패드, 아이폰, 안드로이드 장치에서 지문으로 잠금을 해제할 수도 있습니다.

TLS 및 SRP로 전송 중인 데이터 보호

1Password는 TLS와 SRP 프로토콜로 장치에서 서버로 전송되는 데이터를 보호합니다. 이를 통해 사용자는 데이터와 비밀번호가 전송 중 해킹 공격에 유출되지 않도록 할 수 있습니다. 1Password의 또 다른 장점으로는 신뢰할 수 있는 웹 브라우저에서만 사용할 수 있다는 것입니다. 덕분에 의심스러운 브라우저로 인해 데이터가 유출되는 일을 방지할 수 있습니다.

2단계 인증

1Password는 다른 필수 보안 기능들도 제공하며 2단계 인증(2FA)이 있는 웹사이트를 지원해 Authy나 Microsoft Authenticator로 1Password 앱에 로그인할 수 있습니다. 또한 1Password를 통해 2단계 인증을 지원하는 웹사이트를 확인하고 인증 코드를 1Password에 저장할 수 있습니다.

1Password는 웹사이트에서 정보를 입력하기 전에 사용자의 확인을 받습니다. 이를 통해 웹사이트가 숨겨진 양식을 통해 정보를 탈취하는 것을 방지할 수 있습니다. 또한 1Password는 피싱 사이트가 데이터를 탈취하는 것도 방지합니다.

페이스북에 로그인 정보를 저장하고 야후 웹사이트에서 로그인 정보가 자동으로 입력되는지 테스트했습니다. 1Password는 야후의 로그인 정보가 보관함에 저장되지 않은 것을 인식하고 로그인 정보를 자동으로 입력하지 않았습니다.

프라이버시 보호 및 오픈 소스 데이터 서식 지원

1Password는 프라이버시를 최우선으로 생각하는 제품입니다. 보관함에 저장된 계정 비밀번호와 데이터는 엔드투엔드 암호화로 안전하게 보호됩니다. 1Password는 OPVault와 독자적인 Agile Keychain이라는 두 개의 오픈 소스 데이터 서식을 사용합니다. 이를 통해 사용자의 데이터는 서버측에서 안전하게 동기화되며, 누구나 보안 아키텍처를 확인할 수 있습니다. 1Password가 사용하는 데이터 서식은 애플 iCloud와 드롭박스가 사용하는 데이터 서식과 동일합니다.

또한 1Password는 타사 앱인 Privacy를 통해 사용자가 온라인 쇼핑 중 실제 카드 정보를 숨길 수 있는 프라이버시 카드나 가상 카드를 생성할 수 있도록 하고 있습니다.

1Password는 최근 여러 번의 독립 감사를 거쳤습니다. 1Password는 Cure53, AppSec, Bugcrowd, CloudNative, Nvisium, Onica, 독립 보안 평가사(ISE)의 감사를 받았으며 SOC 2 Type 2 인증을 받았습니다. 이는 1Password가 데이터를 안전하게 관리하고 고객의 이익과 프라이버시를 보호할 수 있음을 의미합니다. 하지만 1Password가 더 나은 디지털 보관함 관리를 위해 Keeper처럼 ISO 270001 인증을 받았다면 좋겠다는 아쉬움은 있었습니다.

1Password 14일 무료 체험하기