비밀번호 관리 도구로 인기가 높은 원패스워드(1Password)가 채택한 메타데이터 관리를 위한 애자일 키체인(Agile Keychain)이 조건에 따라 사용자의 개인 정보를 제3자가 훔칠 수 있는 취약점이 있다는 지적이 나왔다.

소프트웨어 엔지니어인 데일 마이어스가 원패스워드를 사용하던 중 개인 정보가 새어나올 우려가 있는 취약점을 발견했다는 것. 그에 따르면 원패스워드가 데이터 저장 형식으로 도입한 애자일 키체인 파일(.agilekeychain)에는 ‘1Password.html’가 포함되어 있다. 이 파일을 HTTP로 액세스하면 페이지가 열린다. 암호 입력 화면에서 암호를 넣으면 자신의 저장 데이터를 볼 수 있다.

만일 누군가 특정 사용자의 키체인 페이지 링크 URL을 알고 있다면 링크를 수정해 암호화되지 않은 평문으로 메타데이터를 저장할 수 있다는 것이다. 따라서 파일 메타데이터에 접근하게 되면 사용자가 어떤 서비스 계정을 저장하고 있는지 여부를 모두 알 수 있게 된다.

원패스워드는 또 로그인 위치를 키체인에 등록하는 방식을 채택하고 있다. 특정 페이지에 로그인했다면 링크가 키체인 항목에 저장된다는 것이다. 특정 사이트에서 암호 재설정을 위해 이메일로 보낸 리셋용 링크를 한 번 사용한 뒤에도 여전히 활성화되어 있는 상태를 유지하며 이를 이용해 암호를 재설정하는 게 가능하다고 한다.

원패스워드가 채택한 애자일 키체인은 동작이 무거워지는 탓에 메타데이터는 암호화되지 않았다고 한다. 원패스워드가 현재 시스템을 바꾸지 않는 한 이용 서비스 정보가 유출되는 걸 방지하려면 사용자의 키체인 페이지 링크 주소가 제3자에게 알려지지 않게 주의해서 관리해야 한다는 지적이다. 관련 내용은 이곳에서 확인할 수 있다.

이장혁 IT칼럼니스트  hymagic@naver.com

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>