[1DayTip] 브라우저 자동로그인 기능의 문제점

이제 비밀번호가 다양해지고 복잡해지니, 사이트마다 어떤 비번을 설정했는지 기억이 안나는 경우가 많습니다.

그런데 최근 이런 기사가 나왔습니다.

https://n.news.naver.com/mnews/article/001/0014551370?sid=105

KISA "브라우저 자동 로그인 쓰지 말라"…정보 탈취 범죄 급증

 

알다시피 요즘 사용하는 거의 모든 브라우저는 브라우저에 자동로그인이라는 기능을 제공합니다.

그리고 그 대부분의 브라우저는 크로미움 기반입니다.

 

크로미움은 오픈소스입니다. 그 오픈소스에서는 자동로그인 기능 구현이 이렇게 되어 있습니다.

1. 특정 파일에 암호화 키를 저장합니다.

2. 사용자의 비밀번호를 해당 암호화키로 암호화합니다.

따라서, 이 로직을 알고 있는 해커가 "사용자의 PC에 접근 수정할 수 있다면" 암호화 키도, 저장된 아이디/비밀번호도 모두 알아낼 수 있는 셈입니다.

만약 실수로라도 악의적인 해커의 이상한 프로그램을 설치하기만 하면 이 정보들을 모두 털리게 됩니다.

 

KISA에서 권고하는 정보는 아래에서 찾을 수 있습니다.

https://boho.or.kr/kr/bbs/view.do?bbsId=B0000127&nttId=71375&menuNo=205021

KISA 보호나라&KrCERT/CC

 

크롬 자동로그인 기능 끄는 법

크롬 자동로그인을 끄는 법은 간단합니다.
chrome://password-manager/settings 에 접속하여 아래 화면에서 비밀번호 저장여부

비밀번호 저장여부 확인을 끄면 됩니다.

 

엣지 자동로그인 기능 끄는 법

edge://wallet/settings 에서 동일하게 끌 수 있습니다.

 

웨일 브라우저의 경우에는 이 기능에 문제가 없다고 합니다.

자동로그인을 쓰신다면 웨일 브라우저를 쓰면 좀 더 안전하다고 할 수 있겠습니다.

https://n.news.naver.com/mnews/article/014/0005154263?sid=105

브라우저 ‘자동 로그인’ 정보 탈취 우려 높아져‥"보안 기술 강화 필요"

 

웨일도 whale://password-manager/settings 에서 똑같이 기능을 끌 수는 있습니다만 위와 같은 형태의 키 탈취보다는 어려운 보안 수준을 요구한다고 합니다.