1Password에 대해서 이야기해 보도록 하겠습니다.
1Password는 맥용 패스워드 관리 애플리케이션에서 출발했습니다. 작은 데스크톱 유틸리티였고요, 드롭박스를 통해 동기화하는 맥 네이티브 앱이었죠.
이런 조그만 유틸리티가 어떻게 오늘날 포춘 100대 기업 중 30개 기업이 사용하고, ARR(연간 반복 매출) 4억 달러를 돌파하는 커다란 기업이 되었을까요?
특히 지난번 ‘에버노트 흥망사 3부작’을 통해 알아봤듯이, 에버노트가 실현하려 했던 “모든 것을 기억하라”는 이상이 실패한 반면, “더 이상 패스워드를 기억할 필요가 없다, 하나의 패스워드만 기억하라”는 1Password란 서비스는 이렇게 커다란 성공을 거두었다는 점에서 저 자신이 이 주제에 굉장히 흥미를 가지게 되었습니다.
출발 : 조그마한 맥 앱
1Password라는 서비스는 지금도 본사가 있는 캐나다에서 2005년에 시작되었습니다. Dave Teare와 Roustem Karimov가 웹사이트마다 다른 암호를 기억해야 하는 불편을 해결하려고 시작한 3주짜리 사이드 프로젝트였다고 합니다.
이후 서로의 배우자인 Sara Teare와 Natalia Karimov가 합류해 AgileBits라는 회사를 설립하게 됩니다.
이들은 2006년에 첫 공개 버전을 맥 업데이트와 버전 트래커에 올리게 되는데요. 당시의 이름은 1Passwd였습니다. 초기의 중요한 특징 중 하나는 일단 맥 사용자를 집중적으로 공략했다는 점입니다. 맥 소프트웨어 시장은 규모가 작았지만, 윈도우에 비해 유료 소프트웨어를 구매하고 디자인이나 UX를 중시하는 충성도 높은 고객들이 많은 시장이었습니다.
그런 시장에서 로그인을 편하게 해주는 앱으로 접근했습니다. 사용자를 훈계하는 보안 제품이 아니라, 웹 브라우징을 편리하게 해주는 일종의 생산성 도구처럼 지명도를 넓혀간 거죠.
1Password는 기본적으로 유료 앱이었습니다. 개발사인 AgileBits는 14년 가까이 외부 투자를 받지 않고 성장했습니다. 광고로 사용자를 대량 확보하거나 무료 이용자를 유료 고객으로 전환해야 하는 등, 이런 류의 서비스나 앱이 늘 겪어야 하는 문제를 아예 건너뛴 것이죠. 실제로 돈을 낼 만한 소프트웨어를 만드는 것이 생존 조건이었습니다.
1Password가 처음으로 받은 외부 투자는 2019년에 유치한 2억 달러였습니다.
1Password가 시장 점유율 1위를 차지한 적은 없었습니다. 하지만 Mac과 iOS 생태계에서 가격은 좀 비싸도(50달러 정도였던가요) 제대로 만든 제품이라는 평판을 얻었습니다. 그렇기 때문에 자연스럽게 맥과 애플 애호가들 사이에서 선호되는 패스워드 매니저가 됩니다. 이렇게 말씀드리기에는 좀 외람됩니다만, 저 역시 그중 하나라고 생각합니다.
대표적인 패스워드 매니저 중 하나였던 라스트패스와 여기에서 비견됐는데요. 라스트패스의 초기 강점은 브라우저 중심이라 여러 운영체제에서 쓰기 쉬웠다는 점과, 무료 요금제가 그런대로 강력해서 사용자를 빠르게 모았다는 점입니다. 그러면서 기업용 관리 기능과 영업 조직을 비교적 일찍 구축했습니다. 그리고 2015년에 일찌감치 LogMeIn이라는 엔터프라이즈 솔루션 시장에 일찍이 뛰어든 기업에 인수되면서 자본과 유통망을 확보하는 데도 성공했습니다.
하지만 한편으로 1Password는 그 시기에도 오랫동안 유료 판매에 의존했고, Mac 중심이라는 한계가 있었습니다. 겉으로, 표면적으로 보면 라스트패스가 훨씬 현대적인 인터넷 서비스였고 1Password는 그저 좋은 데스크톱 유틸리티에 가까웠다는 거죠.
하지만 라스트패스는 종종 무료로 제공되는 브라우저 확장 기능 중 하나였고, 나중에는 회사에서 기업 계약을 따내서 직원들에게 배포하는 방식의 소프트웨어였던 반면에, 1Password는 이용자가 직접 돈을 내고 선택한 고객이었다는 거죠.
이들은 당연히 제품 변경과 품질에 매우 민감했습니다만, 만족하면 또 만족하는 대로 가족과 직장 동료 혹은 블로그 독자들에게 적극적으로 추천을 했습니다.
결과적으로 1Password는 나중에 기업 시장에 진출하면서 개인이 먼저 쓰다가 직장에 도입을 권유하는 바텀업(Bottom-up) 방식의 성장을 하게 됩니다. 이런 확산 방식은 훗날 Slack이나 Dropbox, Notion 같은 기업용 SaaS가 성장한 방식과 비슷합니다.
앞서 말씀드렸다시피 1Password는 데스크톱 유틸리티였고, 처음에는 Dropbox, 나중에는 iCloud를 통해 동기화하도록 지원하던 데스크톱 유틸리티였습니다. 그러나 지금 1Password는 완벽한 클라우드 기반 서비스입니다.
구독제로 전환
그리고 처음 1Password는 말씀드렸다시피 소프트웨어를 50달러 주고 버전마다 사던 방식이었는데, 이제는 구독제로 바뀌었습니다.
저 자신도 이 전환 과정을 겪었는데요. 솔직히 말해서 커다란 불편을 느끼지 못할 정도로 매끄럽게 잘 진행되었다고 생각합니다.
물론 이 전환이 쉬운 것은 아니었습니다. 많은 사용자가 자기 데스크톱에 금고를 저장하기를 희망하기도 했고, 클라우드에 올리는 것에 대해 반감이 있는 사람도 적지 않았거든요.
하지만 여기에서 1Password가 상당히 현명한 방식을 도입합니다.
대부분의 패스워드 관리 서비스들이 계정 비밀번호만으로 암호화 키를 만드는 반면, 1Password는 기기에서 생성되는 임의의 128비트 시크릿 키(Secret Key)를 계정 비밀번호와 함께 사용합니다. 그래서 서버에서 암호화된 금고가 설령 유출되더라도, 공격자는 사용자의 계정 비밀번호뿐만 아니라 아주 긴 무작위 시크릿 키까지 확보해야만 합니다.
이 시크릿 키는 처음 설정할 때 ‘Emergency Kit’라는 일종의 문서로 받아서 보관해야 하는데요. 솔직히 말해서 시크릿 키를 직접 입력하지 않으면 기기를 추가할 수 없기 때문에 상당히 불편하긴 합니다.
하지만 1Password는 그 과정을 시간이 갈수록 세련되게 다듬었습니다. 예를 들어 이미 로그인된 휴대폰이 있다면, 카메라로 QR 코드를 스캔하기만 해도 Emergency Kit를 직접 찾을 필요 없이 시크릿 키가 자동으로 입력됩니다. 편의성과 보안을 서로 희생하지 않으면서 훌륭하게 양립시켰다고 볼 수 있습니다. 쉽게 말해서 이미 등록된 모든 기기가 한꺼번에 쓸 수 없게 되는 상황(예를 들어 집에 불이 났다든가)이 아니고서야, Emergency Kit를 다시 찾을 필요는 없는 구조입니다.
그리고 나아가서는 YubiKey 같은 FIDO2 하드웨어 키까지 지원하게 됩니다. 저 같은 경우에는 시크릿 키와 하드웨어 키, 거기에 계정 비밀번호까지 있어야 이 금고에 액세스할 수 있기 때문에 굉장히 안전하다고 할 수 있습니다.
1Password는 거기에서 더 나아가 여러 개의 금고를 이용해 개인, 가족, 업무 데이터를 분리할 수 있는 기능을 도입했고, 앞서 말씀드렸듯이 가족과 팀 간에 암호를 안전하게 공유할 수 있는 기능도 도입했습니다.
여기에 취약하거나 재사용된 비밀번호, 혹은 유출된 비밀번호를 찾아주는 Watchtower 서비스를 제공하기 시작했고, 2단계 인증 코드(TOTP 코드)를 저장해 두었다가 자동으로 입력해 주는 기능도 도입했습니다. 인증자 애플리케이션을 따로 사용할 필요가 없는 셈이죠. 물론 이 기능에 대해서는 찬반이 꽤 있습니다만, 지문을 찍거나 비밀번호를 따로 입력해야 하는 상황에서만 입력이 가능하기 때문에 저 자신은 거부감이 없습니다.
그 외에도 미국이라든가 입국 심사가 까다로운 몇몇 국가에서 특정 계정을 숨기고 싶을 때를 위한 트래블 모드(Travel Mode)도 제공하고 있습니다. Windows Hello나 Face ID, Touch ID를 적극적으로 지원하는 점 역시 장점입니다.
적극적인 도약과 확장
최근에는 패스키를 저장하고 동기화하는 기능까지 포함하고 있습니다. 그래서 패스워드뿐만 아니라 패스키까지도 구글, 마이크로소프트, 애플 등 특정 생태계에 얽매이지 않고, 안드로이드 폰과 Mac, 아이폰과 Windows PC처럼 어떤 OS와 기기를 조합해 써도 완벽하게 동기화되는 구조를 만들어 두었습니다.
결론적으로 말해서 1Password는 안전한 행동이 가장 편한 행동이 되도록 만드는 데 성공을 합니다.
1Password는 앞서 말씀드렸다시피 금고를 동기화하는 전통적인 데스크톱 애플리케이션이었습니다. 이 구조는 개인 사용자에게는 데이터 통제권을 주지만, 기업 입장에서는 데이터를 관리하기가 솔직히 머리 아픈 구조입니다. 한마디로 계정을 생성하고, 퇴사자 권한을 회수하고, 감사를 하거나 복구를 지원하는 등의 관리자 작업이 매우 어려운 형태였죠. 그렇기 때문에 기업 시장에 진출하기에는 굉장히 부적절한 애플리케이션이었습니다.
하지만 2015년경 ‘1Password for Teams’를 선보이면서 조직 단위의 금고 관리와 공유 서비스를 시작했고, 이후 패밀리즈(Families), 비즈니스(Business), 엔터프라이즈(Enterprise)로 라인업을 확장해 나갔습니다. 또한 기존에 50달러씩 주고받던 영구 라이선스 방식을 월별 또는 연간 비용을 지불하는 구독형 서비스로 전환했습니다.
이 과정에서 한동안은 로컬 금고 방식을 병행하기도 했으나, 가장 최근 버전에 이르러서는 로컬 금고 지원을 완전히 제거해 버립니다. 물론 이 과정에서 강한 비판을 받기도 했습니다. “내 비밀번호를 왜 회사 클라우드에 맡겨야 하느냐”라는 의문부터 시작해서, 일렉트론(Electron) 기반의 앱을 만들면서 구독제를 강요한다는 반발이 있었죠. 하지만 새로운 클라우드 구조의 장점을 사람들도 어느 정도는 체감하게 되었습니다.
대표적으로 지금까지는 패스워드를 자기만이 소유하고 볼 수 있었지만, 이제는 가족이나 친구, 직원에게 패스워드를 직접 알려주지 않아도 됩니다. 1Password를 쓰시면 아시다시피 난수표 같은 복잡한 패스워드를 사용하실 텐데, 그런 패스워드를 일일이 알려줄 필요 없이 가족의 1Password 금고에 공유하는 것만으로 충분합니다.
공유기 암호나 넷플릭스 암호처럼 함께 써야 하는 암호를 간단하게 공유할 수 있다는 점이 많은 사람들의 불만을 달래는 데 큰 역할을 하지 않았을까 생각합니다.
이처럼 앞서 언급한 1Password의 고전적인 단점들은 이러한 일종의 계정 시스템 도입을 통해 완전히 보완되었습니다.
대표적으로 다음과 같은 관리 기능들이 가능해졌기 때문입니다:
- 입사자에게 필요한 크레덴셜(Credential) 자동으로 배정하기
- 퇴사자의 크레덴셜 즉시 회수하기
- 싱글 사인온(SSO) 및 디렉터리 연동 지원
- 관리자 권한을 통한 사용자 계정 복구 지원
쉽게 말해서 단순한 구독제로의 전환이 아니라, 매달 돈을 받는 구독 서브스크립션을 하나 만든 것이 아니라, 개인용 앱을 기업 스케일의 보안 인프라로 바꾸는 기술적인 전환점이죠.
영리한 기업 판촉 전략
앞서 말씀드렸다시피 1Password는 저명인사들을 비롯해 Mac 사용자들 사이에서 상당한 지명도를 가지고 있었습니다. 1Password가 기업 시장에 진출했을 때 이 점이 굉장히 유리하게 작용했을 것으로 봅니다. 개인용 제품에서 쌓은 편리성을 기업용 제품에 그대로 가져왔기 때문이죠.
그리고 개인용 제품에서 모자랐던 점은 계정 시스템을 도입해 보완하면서, 관리자가 통제할 수 있는 권한을 마련했습니다. 결국 관리자는 통제력을, 직원은 편리함을, 경영진은 비용 절감과 위험 감소를 얻는 등 서로 양립하기 어려운 과제를 달성하는 데 성공했다고 생각합니다.
직원 입장에서도 회사에서 낯선 프로그램을 강제로 깔아 쓰라고 요구하는 것이 아니라, 이미 들어보았거나 실제로 쓰고 있었던, 혹은 써보고 싶었던 제품을 제공받는 셈이었습니다.
특히 기업용 1Password 비즈니스는 재미있는 판촉 전략을 세웠습니다. 직원들에게 무료로 패밀리(Families) 계정을 제공한 것인데요. 직장과 개인, 가정의 패스워드 금고는 분리되면서도 똑같은 방식과 앱으로 가족의 보안까지 개선할 수 있었습니다.
회사가 직원에게 1Password를 쓰게 하면 직원은 가정용 계정도 함께 쓰고, 직원과 가족 모두가 제품에 익숙해집니다. 이후 이들이 이직하거나 다른 조직에서 영향력을 갖게 되면 다시 1Password를 찾게 되죠. 이 과정에서 새로운 기업 계약과 개인 사용자가 생겨나고, 그 개인 사용자가 다시 기업 고객으로 이어지는 아주 영리한 마케팅 구조를 만들어낸 것입니다.
아시다시피 1Password의 최대 경쟁자는 OS 벤더인 애플과 구글, 그리고 업계에서는 라스트패스(LastPass)가 있습니다.
라스트패스는 2022년 데이터 유출 사고가 발생하면서 사실상 금고 전체가 유출되는 참사를 겪었습니다. 이로 인해 금고의 데이터 보안이 전적으로 사용자가 설정한 마스터 암호의 해시 강도에만 의존하게 되는 위험에 노출되었습니다.
반면에 1Password는 이 사고의 여파를 영리하게 비켜나가며 라스트패스 사용자를 흡수하는 데 성공했습니다. 그 핵심 요인으로는 시크릿 키(Secret Key)와 제로 놀리지(Zero-Knowledge) 구조를 꼽을 수 있습니다.
패스워드 매니저를 사용할 때 사용자가 가장 우려하는 점은 저장된 정보가 유출되거나 제3자에게 공개되는 것입니다. 1Password 계정을 만들면 사용자가 정하는 Account Password 외에 128비트의 임의 Secret Key가 생성됩니다. 두 값을 합쳐 금고의 암호화 키를 만듭니다.
핵심은 Secret Key 전체를 1Password 서버가 가지고 있지 않는다는 것입니다.시크릿 키 자체를 서버에 보관하지 않으며 마스터 패스워드 역시 보유하지 않아 이중으로 안전성을 확보합니다. 특히 마스터 비밀번호의 강도와 관계없이 시크릿 키 자체의 높은 엔트로피와 일정한 해시 강도가 유지되므로 훨씬 안전합니다.
1Password는 라스트패스 사고 이후 자사의 이러한 보안 구조를 백서와 블로그 포스트를 통해 적극적으로 알리며 사용자들에게 신뢰와 안도감을 주는 데 성공했습니다. 라스트패스 사고는 1Password의 강점과 동시에, 1Password의 유사시 준비 태세를 증명한 사례라고 볼 수 있습니다.
패스워드 없는 시대의 패스워드 매니저
처음에 패스키가 나왔을 때 사람들은 1Password의 종말을 점쳤습니다. 하지만 재미있게도 패스키 시대가 되면서 1Password의 가치가 더 빛나고 있습니다.
이유는 간단합니다: 패스키 자체를 1Password의 금고에 저장하고, 그것을 전달하거나 공유하거나 권한을 회수하는 일이 자유롭게 이루어지기 때문입니다. 게다가 플랫폼을 따지지 않아요. 게다가 패스워드를 전달하는 것과 달리, 패스키를 사용할 수 있는 권한이 있는 사용자만이 바이오메트릭이나 암호 인증을 통해 패스키를 사용할 수 있습니다.
그렇기 때문에 오히려 패스키를 관리하고 공유하는 데 있어서 이처럼 편리한 솔루션이 없다는 체감을 받았습니다. 이러한 패스키 솔루션은 2022년에 1Password가 인수한 패스키 솔루션 기업인 Passage를 인수하면서 취득한 것입니다.
이처럼 1Password는 펀딩받은 자금으로 관련 업체를 인수하며 영역을 확장했는데요. 패스키 외에도 개발자 API 키나 인증서, 토큰 등의 정보를 관리할 수 있게 되었습니다. 2021년 시크릿허브(SecretHub)라는 회사를 인수하면서 가능해진 것이죠. 특히 SSH 인증서에 대해서는 예전에 제가 한번 글을 포스팅한 적이 있습니다.
이처럼 단순히 패스워드만을 관리하는 회사가 아니게 됨에 따라, 1Password는 패스워드가 없어진 시대에도 살아남을 준비가 어느 정도 갖춰졌다고 볼 수 있습니다.
올드 유저의 아쉬움과 맺음말
여기까지 1Password의 성장은 순풍에 돛 단 듯 거침없어 보이고, 아무런 부작용도 없어 보입니다.
하지만 개인적으로 느끼는 아쉬움이 있습니다. 1Password가 기업 사용자 쪽으로 영역을 확대하면서 홈페이지를 개편했는데요. 우리가 지금까지 써온 서비스 자체는 변함없이 잘 제공되고 유지관리되고 있지만, 막상 홈페이지에 들어가 보면 “내가 알던 그 서비스가 맞나?” 하는 착각이 들 때가 있습니다. 마치 번지수를 잘못 찾아온 것 같은 이질감이 드는 거죠.
물론 일개 개인 고객들을 한두 명씩 모으는 것과 달리, 기업 고객 유치를 위해 CISO(정보보호최고책임자)를 타깃으로 한 홈페이지를 만드는 것은 기업 입장에서 어찌 보면 당연한 선택일 것입니다. 그 편이 돈이 되니까요.
하지만 개인 사용자 입장에서, 가족 사용자 입장에서 프로톤패스나 비트워든 같은 현재의 주요 경쟁 서비스와 비교해 봤을 때 완전히 우리는 당신을 환영하지 않는다는 인상을 받게 하기에 충분할 정도로 기업에 치중한 레이아웃을 보여주고 있습니다.
앞서 말씀드렸다시피 1Password라는 서비스의 정체성은 개인 사용자들과 열성적인 사용자들의 지지 속에서 성장해 온 서비스입니다.
그렇기에 이 서비스가 그저 수많은 엔터프라이즈용 보안 서비스 중 하나로 변해가는 것에 대해 굉장히 아쉽게 생각하고 있습니다. 거기에 기능을 제한한, 소위 말하는 ‘베이비 서비스’로서 홈페이지의 구석에서 개인용과 가족용 서비스가 제공되는 것을 안타깝게 여기고 있습니다. 물론 작은 데스크톱 애플리케이션이 엔터프라이즈를 위한 솔루션이 된 것을 어떻게 보면 사용자 입장에서 감개깊게 생각할 수 있습니다. 하지만 그 원점이 되는 사용자를 제일 중심으로 생각해 주는 1Password가 되어 줬으면 하는 바람이 있습니다.
1Password 이야기 여기서 마치겠습니다.