브라우저에서 방금 만든 비밀번호를 복사한 뒤, 클립보드 기록에 왜 평문이 남나

비밀번호를 만든 뒤의 다음 동작은 거의 정해져 있습니다. 페이지의 복사를 누르고, 회원 가입, 공유기 관리 화면, 서버 패널에 붙입니다. 버튼 문구는 「이제 붙일 곳으로 보낸다」처럼 들립니다. 순서는 반대입니다. 페이지는 먼저 navigator.clipboard.writeText를 호출해 문자열을 OS에 넘깁니다. 붙여넣기는 그 다음의 읽기일 뿐입니다. 두 동작 사이에서 평문은 이미 그 탭만의 것이 아닙니다.

UsePwd의 비밀번호 생성도 같은 경로입니다. 무작위 모드는 6–128자, 기본값은 16자입니다. 8자 미만이면 보안이 낮다고 표시합니다. 문자는 현재 탭에서 Web Crypto로 뽑으며, 가입 없이 바로 씁니다. 성공 시 문구는 「클립보드에 복사했습니다.」입니다. 가리키는 것은 시스템 클립보드이지, 「다음 입력칸에만 존재한다」가 아닙니다. 이 문자열은 UsePwd로 가는 요청 본문에 나오지 않습니다. 보안 안내가 답하는 것은 「평문이 브라우저를 떠나 UsePwd로 가는가」입니다. 이 글이 보태는 것은 그다음 층입니다. 탭을 떠난 뒤에도 OS가 그 문자열을 들고 있을 수 있는가.

「새 키를 채팅창에 다시 보내면 안 된다」와는 층이 다릅니다. 그쪽은 검색되고, 동기화되고, 아카이브되는 채널에 스스로 API 키를 붙이는 이야기입니다. 클라우드 환경변수가 유출된 뒤, 새 키를 채팅창에 다시 보내면 안 되는 이유를 보세요. 이 글은 붙이기 전에 일어납니다. 카카오톡이나 슬랙을 아직 열지 않았어도, Win+V 또는 같은 계정의 다른 기기에서 방금 복사한 문자열을 읽을 수 있습니다.

Windows 10과 Windows 11에는 클립보드 기록이 있습니다. 처음 쓸 때는 Windows 로고 키+V를 누른 뒤 「켜기」를 고릅니다. 이후 지원 형식에 맞는 일반 복사는 이 목록에 들어갑니다. Microsoft 지원은 한도를 이렇게 적습니다. 기록은 최대 25개. 항목당 4MB까지. 지원 형식은 텍스트, HTML, 비트맵. 고정하지 않은 옛 항목은 새 항목을 위해 밀려납니다.

다시 시작하면 고정하지 않은 기록은 지워집니다. 고정한 항목은 예외입니다. 다시 시작해도, 「새 항목을 위한 자리」에도 사라지지 않습니다. 한 건을 지울 때는 Win+V를 열고, 해당 항목 옆의 「자세히 보기」에서 삭제를 고릅니다. 디바이스와 클라우드에서 고정하지 않은 내용을 한 번에 지우려면 「설정 → 시스템 → 클립보드 → 클립보드 데이터 지우기」를 쓰거나, 기록 패널 맨 위의 「모두 지우기」를 고릅니다. 순서는 Microsoft 지원 「클립보드 사용」에 있으며, 내 PC에서 같은 조작을 할 수 있습니다.

비밀번호는 4MB보다 훨씬 작아서, 길이는 문턱이 되지 않습니다. 16자 무작위, 128자 무작위, 생성기에서 여러 줄을 한데 묶어 복사한 덩어리도 텍스트로 기록에 들어갑니다. 스크린샷도 클립보드를 탑니다. 화면에 나온 비밀번호를 찍으면 그 비트맵이 25개 중 한 칸을 씁니다. 패널에 글자가 보인다고 해서, 기록이 글자만 담는 것은 아닙니다.

Windows의 디바이스 간 동기화는 Microsoft 계정 또는 회사 계정에 묶입니다. 경로는 「설정 → 시스템 → 클립보드」입니다. 「디바이스에서 클립보드 기록」을 켭니다. 자동 동기화는 복사한 텍스트를 클라우드에 올린 뒤, 같은 로그인 정보의 다른 기기로 보냅니다. 수동 동기화는 먼저 Win+V를 누르고, 해당 항목의 동기화 단추를 눌러야 올라갑니다. 둘 다 같은 Microsoft 지원 문서에 있습니다. 차이는 「클라우드에 들어가는가」가 아닙니다. 「매번 들어가는가, 표시를 했을 때만 들어가는가」입니다.

Apple 기기는 다른 관입니다. 유니버설 클립보드는 핸드오프 위에 있습니다. 같은 Apple 계정이고 서로 가까운 기기라면, 한쪽에서 복사하고 다른 쪽에서 붙일 수 있습니다. Apple의 「Handoff 보안」(페이지 표기는 2021년 2월 18일)에는 그 자리에서 대조할 수 있는 사실이 둘 있습니다. 첫째, 앱 개발자가 공유를 막지 않는 한, 클립보드 내용은 기본으로 유니버설 클립보드와 공유됩니다. 둘째, 앱은 사용자가 붙이기 전에도 클립보드를 읽을 수 있습니다. 유니버설 클립보드가 켜져 있으면, 이 읽기는 같은 로그인 정보의 다른 기기 위 앱으로 넓어집니다.

전송 자체는 암호화되어 있습니다. 핸드오프는 Bluetooth Low Energy로 알리고, 활동 페이로드를 iMessage에 가까운 방식으로 지키며, 큰 데이터는 기기 사이 Wi-Fi 위의 TLS로 움직입니다. 이는 「경로상의 제삼자가 내용을 열지 못할 수 있다」는 뜻입니다. 「거실의 공용 iPad가 못 읽는다」가 아닙니다. 신뢰 모델은 계정이지, PC 한 대가 아닙니다. 가족이 Apple 계정 하나를 같이 쓰거나, 회사 노트북과 집 PC가 같은 Microsoft 계정이면, 방금 복사한 비밀번호를 읽을 수 있는 범위가 한 바퀴 넓어집니다.

Microsoft의 Win32 문서는 「클라우드 클립보드와 클립보드 기록 형식」을 따로 나열합니다. 기록이나 다른 기기에 넣고 싶지 않은 앱은 다음 형식을 등록해 쓸 수 있습니다. ExcludeClipboardContentFromMonitorProcessing은 그 쓰기의 모든 형식을 기록에도 동기화에도 넣지 않습니다. CanIncludeInClipboardHistory에 값 0인 DWORD를 두면 기록에 들어가지 않고, 1이면 기록에 넣으라고 명시합니다. CanUploadToCloudClipboard의 0과 1은 클라우드 동기화만 다루며, 이 기기의 기록은 바꾸지 않습니다. 설명은 Microsoft Learn 「Clipboard Formats」에 있습니다.

비밀번호 관리자와 Windows 자격 증명 관리자는 이 네이티브 경로를 씁니다. 웹 페이지의 navigator.clipboard.writeText에는 같은 능력이 없습니다. 텍스트는 쓸 수 있지만, 위의 제외 형식은 붙일 수 없습니다. 그래서 페이지의 복사는 시스템에도, 타사 기록 도구에도 그냥 텍스트입니다. 어느 사이트가 「암호화를 잊은」 것이 아닙니다. 페이지에 허용된 클립보드 API가 원래 텍스트에서 멈춘다는 뜻입니다.

UsePwd는 비밀번호 보관함이 아니고, 계정도 없습니다. 상단 바 오른쪽은 언어 전환뿐입니다. 생성 페이지와 강도 검사 모두 가입 없이 바로 씁니다. 강도 검사는 이 기기에서 강도를 가늠하고, 페이지와 함께 제공되는 약한 비밀번호 공개 목록과 대조합니다. 검사할 비밀번호는 올리지 않으며, Have I Been Pwned도 전역 조회도 아닙니다. 이 약속이 다루는 것은 「비밀번호가 UsePwd 요청에 들어갔는가」입니다. Windows가 같은 문자열을 Win+V에 썼는가는 다루지 않습니다. 둘은 동시에 성립할 수 있습니다. 네트워크 패널은 깨끗해도, 클립보드 기록에는 평문이 남습니다.