패스프레이즈: Ledger의 고급 보안 기능

패스프레이즈는 Ledger Nano X, Ledger Nano S와 같은 하드웨어 지갑에서 지원하는 고급 기능입니다. 패스프레이즈는 기존의 복구 문구에 사용자가 선택한 단어를 추가해 새로운 계정 세트를 잠금 해제합니다. 패스프레이즈 작동 원리, 역할 및 모범 사용 사례를 자세히 살펴보겠습니다.

패스프레이즈 소개

익히 알고 계시듯이 24개의 단어 복구 문구는 모든 암호화폐에 대한 백업입니다. 24개의 단어를 안전하게 저장하고, 인터넷에 연결할 수 있는 스마트폰이나 컴퓨터, 기타 장치에 입력하지 않는 것이 절대적으로 중요합니다. 24개의 단어가 타인의 손에 들어가면 그 사람이 사용자의 암호화폐에 액세스할 수 있기 때문입니다. 그런데… 만약 24개의 단어 복구 문구에 추가로 보호막을 더할 수 있는 방법이 있다고 한다면 어떨까요?

패스프레이즈가 있으면 이런 보호막을 더할 수 있습니다.

패스프레이즈는 복구 문구에 추가 단어를 더해주는 고급 기능입니다. 이러한 이유로, 흔히 25번째 단어라고도 부릅니다. 보통의 복구 문구와 달리, 25번째 단어를 선택하는 주체는 사용자 본인입니다. 제약 없이 마음에 드는 단어를 선택할 수 있습니다. 사실상 유일한 제한 사항은 최대 100자까지 입력할 수 있다는 점입니다. 패스프레이즈는 대소문자를 구분하며, 숫자와 특수문자로 구성할 수 있습니다.

일반 설정 위에 패스프레이즈를 사용하면 새 계정 세트가 열립니다. 이는 서로 완전히 다른 두 개의 복구 문구를 갖는 것과 비슷합니다.

그런데, 어째서 패스프레이즈를 사용하여 새로운 암호화폐 주소 세트를 만드는 방안을 고려해야 할까요?

패스프레이즈 사용을 고려해야 하는 이유

먼저, 패스프레이즈라는 추가 보호 장치를 더한다는 것은 누군가 24개의 단어 복구 문구를 알더라도 사용자의 귀중한 암호화폐에 접근하기에는 여전히 정보가 충분하지 않다는 것을 의미합니다. 암호화폐 자산에 액세스하려면 사용자의 24개의 단어 및 사용자가 설정한 25번째 단어가 필요합니다. 타인이 사용자의 24개의 단어만을 아는 경우에는 일반 계정에만 접근할 수 있습니다. 이 때문에 패스프레이즈로 관리하는 계정을 종종 숨겨진 계정이라고 부릅니다.

보호막을 하나 더 생성할 뿐만 아니라, 백업의 임의성이 강화됩니다. 표준적인 24개의 단어 복구 문구 역시 매우 임의적입니다. 총 115.792.089.237.316.195.423.570.985.008.687.907.853.269.984.665.640.564.039.457.584.007.913.129.639.936개의 가능한 단어 조합이 존재하기 때문입니다. 그러나 이러한 단어는 BIP39 단어 목록이라고 불리는 세트 목록에서 선택됩니다.

25번째 단어를 사용하면 생성할 수 있는 조합의 수가 완전히 새로운 수준으로 늘어납니다. 또한, 이를 통해 단어 혼합 시 인간적인 요소를 더할 수 있습니다. 장치가 수신하는 24개의 단어에 의존하는 대신, 개인적으로 생각하면서 만들어낸 임의의 단어를 추가하는 것입니다. Ledger 장치에서 생성된 복구 문구만을 사용하는 것도 매우 안전하다는 점 역시 알려드립니다. Ledger 장치는 복구 문구를 생성하는 데 사용되는 진정한 난수 생성기(True Random Number Generator, “TRNG”)의 품질에 대해서 가장 수준 높은 인증을 받았습니다. 마지막으로, 패스프레이즈를 사용하면 부인권을 부여받습니다. 부인권이 중요한 이유를 자세히 알아보겠습니다.

부인권이란 무엇일까요?

가치가 있는 무언가라면 가능한 한 어떤 수단으로든 훔치려고 하는 사람이 항상 존재하기 마련입니다. 안타깝게도 암호화폐의 세계 역시, 아주 드문 일이기는 하지만 암호화폐로 많은 부를 보유했다고 알려진 개인이 실제로 강도와 위협의 대상이 되는 사례가 있었습니다. 패스프레이즈는 이러한 사건이 발생하더라도 암호화폐를 제한적으로나마 보호할 수 있습니다.

패스프레이즈가 설정되었다면, 부인권은 다른 사람이 이제 사용자의 암호화폐 자산에 접근할 수 있다고 착각하게 만들 수 있다는 의미입니다. 예를 들어, 누군가가 사용자의 복구 문구를 알려달라고 협박하거나 Ledger 장치를 잠금 해제하도록 강요할 수 있습니다. 일반적으로 패스프레이즈를 설정했다면, 이때 숨겨진 계정이 아닌 일반 계정에만 접속할 수 있습니다. 특히 암호화폐 대부분을 숨겨진 계정에 두고 일반적인 계정에는 약간의 잔액만 보유하고 있다면, 패스프레이즈는 상당히 유효한 보안 조치가 됩니다. 또한, 다양한 패스프레이즈를 설정해 숨겨진 계정을 여러 개 사용할 수도 있습니다. 공격자가 패스프레이즈 기능을 이미 알고 있는 경우에는 패스프레이즈가 여러 개 있는 편이 유용할 수 있습니다.

부인권이 확실한 보장을 해주지는 않지만, 극단적인 상황에서 암호화폐 자산을 보호할 수 있는 기회를 만들어 줄 수 있습니다.

내 Ledger 장치에서 패스프레이즈를 사용할 수 있나요?

물론 가능합니다! 다른 일부 하드웨어 지갑도 패스프레이즈를 사용할 수 있지만, 이 경우에는 사용자가 컴퓨터에 패스프레이즈를 입력해야 합니다. 이렇게 사용하면 패스프레이즈가 온라인 공격에 취약해집니다. Ledger를 사용하면 Ledger 장치에 직접 패스프레이즈를 입력하여 숨겨진 계정을 사용할 수 있습니다. 이를 통해 패스프레이즈가 공격자의 손에 들어가지 않도록 방지합니다.

실제로 Ledger에서 패스프레이즈를 설정하는 옵션은 두 가지가 존재합니다. 첫 번째는 장치를 사용할 때마다 패스프레이즈를 입력하는 것입니다. 이를 “임시 패스프레이즈 설정” 옵션이라고 부릅니다. 이 경우, Ledger 장치가 꺼진 후 일반 계정에 다시 액세스할 수 있습니다.

다른 옵션은 사용자가 선택한 패스프레이즈를 보조 PIN 코드에 연결하는 것입니다. 이 옵션을 선택하는 경우, 먼저 Ledger 장치에서 직접 패스프레이즈를 생성해야 합니다. 이렇게 하면 Ledger 장치에 대한 보조 PIN 코드를 선택할 수 있습니다. 이후 장치를 켤 때마다 일반 PIN 코드나 보조 PIN 코드 입력 중에서 원하는 옵션을 선택할 수 있습니다. 보조 PIN 코드를 입력하면 패스프레이즈 뒤로 숨겨진 계정에 접근할 수 있습니다.

예를 들면 다음과 같습니다:

일반 PIN 코드: 1653 → 정상 계정
보조 PIN 코드: 8530 → 숨겨진 계정

Ledger 장치에서 패스프레이즈를 사용하는 방법을 자세히 알고 싶다면, 이 글을 참조하세요.

모범 사례

이제 패스프레이즈를 고급 기능으로 간주하는 몇 가지 이유를 추가로 알려드리겠습니다. 우선, 사용자는 패스프레이즈를 완벽하게 기억해야 합니다. 글자 하나만 틀리더라도 이로 인해 완전히 다른 계정 세트에 액세스할 수 있습니다. 대소문자를 구별하지 않았을 때도 이러한 결과가 나타날 수 있습니다.

패스프레이즈를 글자 하나하나 정확하게 기억하지 못하는 경우, 사용자가 관리하는 암호화폐에 접근할 수 없습니다. 그러므로, 1. 처음 설정할 때 정확하게 입력해야 하며 2. 완벽하게 기억하는 것이 중요합니다.

또한, 다른 패스프레이즈 대비 보안 수준이 낮은 패스프레이즈도 존재합니다. 패스프레이즈는 100자까지 입력 가능하며 대소문자, 숫자 및/또는 특수문자를 사용할 수 있습니다. 패스프레이즈가 길어질수록, 그리고 여러 유형의 문자를 다양하게 섞어 쓸수록 패스프레이즈가 더욱 복잡하고 안전해집니다. 이상적으로는 패스프레이즈를 패스워드라고 생각하고, 최대한 복잡하게 설정해야 합니다. 또, 단어를 직접 사용하지 말아야 합니다.

예를 들면 다음과 같습니다:
패스프레이즈 1: password → 길이가 짧아 안전하지 않으며, 임의의 문자나 대문자가 없습니다.

패스프레이즈 2: IReallyLikeMyBitcoins → 조금 더 안전합니다. 길이가 길고 대문자도 사용했습니다. 단, 평범한 영문자를 사용하며 숫자나 특수문자를 넣지 않았습니다.

패스프레이즈 3: H05!xp4e2i6dAnV?esRjfap953nxZprsi495nAASF5n,!f01.?d → 더더욱 안전합니다. 길이가 길고 대문자, 숫자, 특수문자도 다양하게 사용되었습니다. 또한 실제 단어를 사용하지 않았습니다.

패스프레이즈 3은 가장 안전하다고 볼 수 있지만, 기억하기가 매우 어렵습니다. 암호학 퍼즐의 형태로도 패스프레이즈를 설정할 수 있습니다. 예를 들어 “Iret3LNS’tuBgm!”라는 패스프레이즈는 “I really enjoy the 3 Ledger Nano S’s that uncle Bob gave me!”라는 문장에서 어절의 첫 문자와 특수문자, 숫자를 조합한 것입니다.

패스프레이즈가 민감한 정보라는 점을 강조하고자 합니다. 그러므로 복구 문구를 관리할 때와 마찬가지로, 패스프레이즈를 유의하여 관리할 것을 권장합니다.

– 패스프레이즈를 누구와도 절대 공유하지 마세요. Ledger는 절대 패스프레이즈를 묻지 않습니다.
– 절대 패스프레이즈를 컴퓨터, 스마트폰, 또는 기타 인터넷이 연결된 장치에 입력해서는 안 됩니다.

이와 관련된 모범 사례는 여기서 더 자세히 알아보실 수 있습니다.

계속 학습하세요! 암호화폐와 블록체인에 대한 학습이 즐거우셨다면 School of Block 동영상도 참고해 보세요. 암호화폐로 불로소득을 올리는 3가지 방법