비밀 메모 잠그기·풀기

글을 비밀번호로 잠가 보내기

메신저나 메일에 비밀번호, 계좌번호, 집 주소를 그대로 쓰면 대화 기록이 남고, 휴대폰을 잠깐 빌려준 사람이나 다른 사람이 볼 수도 있어요. 이 도구는 글을 비밀번호로 잠가서 알아볼 수 없는 문자열로 바꿔요. ‘잠그기’에서 글과 비밀번호를 넣고 잠근 다음, 나온 글이나 링크를 보내세요. 받는 사람은 이 페이지의 ‘풀기’에 잠긴 글을 붙여 넣고(링크를 열면 저절로 채워져요) 같은 비밀번호를 넣으면 원래 글을 볼 수 있어요.

어떻게 잠그나요?

브라우저에 들어 있는 웹 암호화 기능(Web Crypto API)만 써요. 비밀번호는 PBKDF2(HMAC-SHA256) 방식으로 60만 번 반복 계산해 256비트 열쇠로 만드는데, 이 반복 횟수는 국제 웹 보안 단체 OWASP가 비밀번호 보관용으로 권하는 값이에요. 그 열쇠로 AES-256-GCM 암호화를 해요. GCM 방식은 잠긴 글이 한 글자라도 바뀌면 풀리지 않아서 중간에 고쳐졌는지도 알 수 있어요. 잠글 때마다 무작위 소금값(16바이트)과 초기값(12바이트)을 새로 만들기 때문에 같은 글을 같은 비밀번호로 잠가도 결과가 매번 달라요.

링크로 보낼 때

푸는 링크는 잠긴 글을 주소의 # 뒤에 붙여요. # 뒤 부분은 브라우저가 웹 서버로 보내지 않는 부분이고, 이 페이지는 링크를 열자마자 주소창에서 그 부분을 지워요. 다만 링크 자체에는 잠긴 글이 들어 있으니, 비밀번호는 링크와 다른 방법(전화, 직접 만나서, 다른 메신저)으로 알려 주세요. 같은 대화방에 링크와 비밀번호를 함께 보내면 잠근 의미가 없어요.

알아 두세요

비밀번호를 잊으면 누구도 풀 수 없어요. 홍라이프도 비밀번호를 모르고 저장하지 않아요. 짧거나 흔한 비밀번호(1234, 생일)는 여러 번 넣어 보는 방법으로 풀릴 수 있으니, 단어 서너 개를 이은 긴 비밀번호를 쓰세요. ‘비밀번호 만들기’ 도구로 만들어도 좋아요. 이 도구는 개인 메모나 가벼운 전달용이에요. 회사 기밀이나 법적으로 보호해야 하는 정보는 회사가 정한 보안 프로그램을 쓰세요.

참고한 자료

• OWASP Password Storage Cheat Sheet — PBKDF2-HMAC-SHA256 600,000회 권장
• MDN — SubtleCrypto (Web Crypto API: deriveKey·encrypt)