비밀번호가 노출됐을지 모른다는 알림을 받은 사람이 즉시 비밀번호를 바꿨습니다. 휴대전화 앱에서는 다시 로그인하라는 화면이 나왔습니다. 그런데 거실에 놓인 태블릿을 열어보니 쇼핑몰의 주문 내역이 그대로 보였습니다. 새 비밀번호를 입력한 적도 없는데 이전처럼 계정이 열렸습니다.
그는 비밀번호 변경이 실패했다고 생각했습니다. 그러나 태블릿이 새 비밀번호를 알아낸 것은 아닙니다. 서비스가 그 기기에 남아 있던 로그인 상태나 장기 로그인 정보를 아직 유효하게 받아들였을 가능성이 큽니다.
‘비밀번호 저장’, ‘로그인 상태 유지’, ‘이 기기를 기억하기’는 화면에서 비슷해 보이지만 같은 기능이 아닙니다. 이 차이를 알아야 비밀번호를 바꿨는데도 어떤 기기는 계속 열리는 이유와, 모든 기기에서 로그아웃 기능이 필요한 이유를 이해할 수 있습니다.
비밀번호를 저장하는 주체
브라우저나 비밀번호 관리자는 이용자가 입력한 아이디와 비밀번호를 보호된 저장소에 보관했다가 다음 로그인 화면에서 채워줄 수 있습니다. 이 경우 서비스의 로그인 화면에는 비밀번호가 다시 입력됩니다. 사용자가 타이핑하지 않았을 뿐, 로그인 과정 자체는 아이디와 비밀번호 확인으로 새로 시작됩니다.
반면 서비스의 ‘로그인 상태 유지’는 비밀번호를 브라우저에 저장하지 않아도 가능합니다. 이용자가 한 번 인증을 마치면 서비스가 장기간 사용할 수 있는 로그인 정보를 발급하고, 다음 방문에서 그 정보를 확인해 새로운 세션을 만들 수 있습니다. 브라우저를 닫았다가 열어도 다시 비밀번호를 묻지 않는 이유입니다.
두 기능은 서로 함께 켜질 수도 있고 따로 작동할 수도 있습니다. 브라우저가 비밀번호를 저장했지만 서비스의 세션은 끝난 경우, 로그인 화면에 값이 자동으로 채워지고 다시 인증합니다. 반대로 브라우저에 비밀번호를 저장하지 않았더라도 서비스의 장기 로그인 정보가 남아 있으면 로그인 화면 자체를 보지 않을 수 있습니다.
보안 사고가 났을 때 이 구분이 곧 대응 순서를 가릅니다. 브라우저에 저장된 비밀번호를 지우는 것과 서버가 인정하는 로그인 상태를 끝내는 것은 서로 다른 처리입니다. 비밀번호를 바꾸면 저장된 옛 비밀번호는 다음 로그인에서 실패할 수 있지만, 이미 발급된 세션이나 장기 로그인 정보의 처리 방식은 서비스 정책에 달려 있습니다.
오래 머무르는 로그인 정보
9장에서 본 일반 세션은 일정 시간 뒤 만료될 수 있습니다. 자동 로그인을 제공하는 서비스는 더 오래 남는 정보를 별도로 사용할 수 있습니다. 여기서는 이를 지속형 로그인 정보라고 부르겠습니다.
지속형 로그인 정보는 비밀번호의 복사본일 필요가 없습니다. 서버가 발급한 예측하기 어려운 값이나 기기와 계정의 연결 기록일 수 있습니다. 이용자가 다시 방문하면 브라우저나 앱이 그 값을 보내고, 서버는 유효성·만료·회수 여부를 확인한 뒤 새 세션을 만들 수 있습니다.
즉 장기 정보 자체가 모든 페이지 요청에 계속 쓰이기보다, 짧게 운영할 새 세션을 발급하는 열쇠처럼 사용될 수 있습니다. 구체적인 구현은 서비스마다 다릅니다. 어떤 서비스는 장기 정보를 한 번 사용하면 새 값으로 교체하고, 이상 징후가 있으면 연결을 폐기할 수 있습니다. 이 책에서는 특정 구현을 표준처럼 고정하지 않습니다.
중요한 점은 지속형 로그인 정보도 그것을 가진 기기가 이용자를 대신해 다시 로그인할 수 있게 한다는 사실입니다. 공용 컴퓨터와 다른 사람의 태블릿에서 ‘로그인 상태 유지’를 켜면, 브라우저를 닫은 뒤에도 다음 사용자가 계정에 들어갈 수 있습니다. 화면을 닫는 것과 서버가 발급한 장기 정보를 없애는 것은 다릅니다.
‘이 기기를 기억하기’는 무엇을 믿는가
서비스는 로그인 뒤 “이 기기를 신뢰하시겠습니까?”라고 물을 수 있습니다. 이 표현 때문에 서버가 휴대전화의 물리적인 정체를 완벽하게 파악한다고 생각하기 쉽습니다. 실제로는 앱 설치 정보, 브라우저에 저장된 값, 기기와 계정의 등록 관계 같은 여러 신호를 사용해 해당 환경에서 추가 확인을 줄이는 경우가 많습니다.
신뢰 기기는 영구적인 실물 목록과 같지 않을 수 있습니다. 같은 휴대전화라도 앱을 삭제하거나 브라우저 데이터를 지우면 새로운 환경으로 보일 수 있습니다. 반대로 기기를 다른 사람에게 넘겼는데 앱과 로그인 정보가 그대로 남아 있다면 시스템은 이전의 신뢰 관계를 계속 사용할 수 있습니다.
‘기억하기’는 편리함을 제공하는 대신 기기 보호를 전제로 합니다. 잠금 화면이 안전하게 설정되어 있고, 운영체제와 앱이 최신이며, 분실했을 때 원격으로 접근을 끊을 수 있어야 위험을 줄일 수 있습니다. 여러 사람이 함께 사용하는 기기에서는 기억하지 않는 편이 낫습니다.
서비스가 신뢰 기기에서 2단계 인증을 덜 요구하더라도 모든 민감한 행동을 허용할 필요는 없습니다. 결제수단 변경, 비밀번호와 복구정보 수정, 대량 자료 다운로드처럼 피해가 큰 작업 앞에서는 다시 인증을 요구할 수 있습니다. 평소 로그인 편의와 중요한 작업의 확인 강도를 다르게 설계하는 것입니다.
비밀번호를 바꾸면 모든 기기가 나갈까
이 질문에는 서비스마다 다른 답이 있을 수 있습니다. 비밀번호 변경과 동시에 모든 세션과 지속형 로그인 정보를 폐기하는 서비스가 있고, 현재 기기만 남기거나 이용자가 종료 범위를 선택하게 하는 서비스도 있습니다. 일부 환경에서는 비밀번호를 바꿔도 이미 발급된 상태가 일정 시간 남을 수 있습니다.
어느 정책이 항상 옳다고 단정하기는 어렵습니다. 계정 탈취가 의심되는 비밀번호 변경이라면 모든 활성 상태를 끝내는 것이 안전합니다. 반면 이용자가 단순히 정기 변경을 한 경우 업무 중인 여러 기기에서 갑자기 로그아웃되면 불편이 큽니다. 서비스는 변경 이유를 완전히 알지 못하므로, ‘모든 기기에서 로그아웃’ 선택과 최근 활동 확인 기능을 제공하는 방식이 도움이 됩니다.
비밀번호 변경 뒤 태블릿이 계속 열렸던 첫 장면으로 돌아가 보겠습니다. 가능한 설명은 여러 가지입니다. 태블릿의 기존 세션이 아직 남아 있을 수 있고, 지속형 로그인 정보가 새 세션을 만들었을 수 있으며, 앱 자체의 잠금 화면이 계정 인증과 별도로 동작했을 수도 있습니다. 화면만 보고 어떤 구조인지 확정할 수는 없습니다.
이용자가 할 수 있는 일은 서비스의 보안 설정에서 활성 세션이나 로그인된 기기를 확인하고, 자신이 모르는 항목을 종료하는 것입니다. 계정 탈취가 의심된다면 비밀번호와 복구정보, 추가 인증수단, 외부 연결도 함께 살펴야 합니다. 6장에서 강조했듯 무엇이 노출됐는지에 따라 회수 범위가 달라집니다.
모든 기기에서 로그아웃
‘모든 기기에서 로그아웃’은 서버가 현재 계정에 연결된 세션과 지속형 로그인 정보를 더 이상 사용할 수 없게 하는 기능입니다. 구현에 따라 즉시 종료되는 범위와 다시 확인이 필요한 시점은 다를 수 있습니다. 현재 사용 중인 기기까지 함께 나갈 수도 있고, 비밀번호 입력을 다시 요구할 수도 있습니다.
이 기능은 분실 기기와 낯선 로그인에 대응할 때 유용합니다. 이용자가 기기를 직접 회수하지 못해도 서버 쪽의 신뢰 관계를 끊을 수 있기 때문입니다. 단, 앱이 이미 내려받아 로컬에 보관한 파일과 화면 캡처까지 원격 로그아웃으로 지워지는 것은 아닙니다. 서버 접근을 끊는 것과 기기 안에 남은 데이터를 삭제하는 것은 다른 문제입니다.
서비스는 로그아웃 요청을 받았을 때 브라우저의 쿠키만 지우는 데 그치지 않고 서버가 해당 세션을 무효화해야 합니다. 지속형 로그인 정보도 회수 대상에 포함할지 정책을 분명히 해야 합니다. 그렇지 않으면 화면에서는 로그아웃됐지만 다음 방문에 장기 정보로 새 세션이 만들어질 수 있습니다.
이용자에게는 기능 이름보다 범위가 중요합니다. ‘현재 기기에서 로그아웃’, ‘선택한 기기 종료’, ‘모든 세션 종료’, ‘외부 앱 연결 해제’가 서로 다른 작업일 수 있습니다. 서비스가 이 차이를 명확히 보여주지 않으면 이용자는 끝냈다고 생각한 접근이 남아 있을 수 있습니다.
기기 목록은 실제 기기의 주민등록표가 아니다
많은 서비스는 최근 로그인한 기기나 활성 세션 목록을 보여줍니다. 이용자는 휴대전화 모델, 브라우저, 대략적인 지역, 마지막 활동 시각을 보고 자신이 사용한 환경인지 판단할 수 있습니다.
그러나 이 목록이 실제 물리 기기를 완벽하게 구별한다고 기대해서는 안 됩니다. 같은 기기가 앱과 브라우저별로 여러 항목으로 보일 수 있고, 브라우저 업데이트나 쿠키 삭제 뒤 새 기기로 표시될 수 있습니다. 회사망과 VPN 때문에 지역이 다르게 보이기도 합니다. 반대로 비슷한 환경이 하나처럼 묶여 보일 수도 있습니다.
목록은 의심스러운 접근을 찾는 단서이지 완전한 디지털 신분증이 아닙니다. 표시된 이름과 위치가 낯설다면 종료하고 비밀번호와 추가 인증 상태를 확인할 이유가 생기지만, 목록 하나만으로 공격 여부를 확정하기는 어렵습니다.
서비스 운영에서도 기기 목록은 별도의 기능과 의존성을 가집니다. 한 전자책 서비스에서 로그인과 콘텐츠 이용은 가능했지만, 이용자가 등록된 기기 목록을 조회하는 화면만 실패한 적이 있었습니다. 인증 서버가 멈춘 것이 아니라 기기 정보를 조회하는 별도 처리에서 오류가 난 상황이었습니다.
이용자는 “내 기기가 등록되지 않아 로그인이 안 된다”고 생각할 수 있지만 실제 로그인은 정상일 수 있습니다. 운영자는 기기 등록, 활성 세션, DRM 이용 기기, 앱 설치 정보를 서로 같은 목록으로 취급하지 않아야 합니다. 화면에서 모두 ‘기기’라고 부르더라도 시스템 안의 의미는 다를 수 있습니다.
공용 기기와 분실 기기
가상의 장면을 생각해 보겠습니다. 가족이 함께 쓰는 태블릿에서 쇼핑몰에 로그인하며 상태 유지를 선택했습니다. 다음 사람은 비밀번호를 모르지만 앱을 열어 주문 내역과 배송지를 볼 수 있습니다. 결제 때 추가 인증이 있다 해도 개인정보 노출과 주문 변경의 위험은 남습니다.
공용 기기에서는 로그인 상태를 유지하지 않고 사용 뒤 로그아웃하는 편이 안전합니다. 브라우저에 비밀번호를 저장하지 않는 것만으로는 충분하지 않을 수 있습니다. 이미 발급된 세션과 지속형 로그인 정보가 남아 있기 때문입니다. 기기를 반납하거나 판매할 때는 계정 로그아웃과 앱 데이터 삭제, 기기 초기화를 함께 고려해야 합니다.
휴대전화를 분실했다면 화면 잠금과 원격 잠금 기능이 첫 방어가 됩니다. 동시에 중요한 서비스에서 해당 기기의 세션을 종료하고, 복구 수단과 최근 활동을 확인할 수 있습니다. 기기를 찾았더라도 다른 사람이 잠금이 풀린 상태에 접근했을 가능성이 있다면 계정의 신뢰 관계를 다시 점검해야 합니다.
자동 로그인은 이용자를 게으르게 만드는 나쁜 기능이 아닙니다. 매번 긴 비밀번호와 인증번호를 입력하는 부담을 줄이고, 접근성을 높이며, 일상적인 서비스를 자연스럽게 이어줍니다. 문제는 편리함의 근거가 어떤 기기와 정보에 묶여 있는지 모른 채 사용하는 데 있습니다.
비밀번호를 바꾸는 일과 이미 로그인된 기기의 접근을 끝내는 일은 별도로 관리해야 한다.
