크롬 비밀번호와 패스키, 저장 위치와 로그인 오류 확인 순서

크롬 비밀번호 패스키 저장 위치 차이와 인증 방식의 변화

구글 크롬 브라우저를 사용하면서 웹사이트 계정 정보를 관리할 때 가장 혼란스러운 지점은 기존의 텍스트 형태 아이디·비밀번호와 새롭게 도입된 패스키(Passkey)가 어디에 저장되고 어떻게 동기화되는지 명확히 파악하기 어렵다는 사실입니다. 두 방식은 브라우저 상단에서 똑같이 자동 로그인을 제안하지만, 내부적으로 데이터를 보관하는 물리적 위치와 보안 암호화 알고리즘에서 근본적인 차이가 존재합니다.

핵심부터 짚으면, 전통적인 비밀번호는 크롬에 구글 계정으로 로그인했을 때 구글 비밀번호 관리자 클라우드 서버에 암호화되어 저장되며 동일 계정을 쓰는 다른 PC나 스마트폰으로 동기화됩니다. 반면 크롬에 로그인하지 않고 게스트 모드나 로컬 프로필로 사용할 때는 오직 현재 컴퓨터의 로컬 데이터베이스에만 기록됩니다. 반면 차세대 인증 기술인 패스키는 공개키 암호화 기술(FIDO/WebAuthn 표준)을 사용하여, 사이트 서버에는 공개키만 등록하고 실제 로그인에 필요한 비밀 개인키는 사용자의 기기나 종단간 암호화(E2EE)로 보호되는 구글 비밀번호 관리자 안전 영역에 격리 저장합니다.

브라우저 내 탭 관리나 백그라운드 자원 소모를 점검하려는 분은 크롬 메모리 절약과 탭 새로고침 해결 순서 가이드를 함께 확인하면 안정적인 웹 탐색 환경을 유지하는 데 도움이 됩니다. 또한 운영체제 전체의 파일 보존과 복구 기준을 비교하려는 사용자는 윈도우 백업과 파일 기록, 복원 전에 확인할 차이와 설정 순서를 읽어두시면 로컬 드라이브 보호 체계를 세우는 데 실질적인 기준을 잡을 수 있습니다.

비밀번호와 패스키의 저장 구조 및 동작 원리 비교

구글 공식 고객센터 문서에 따르면 크롬 브라우저는 계정 로그인 상태와 사용자가 선택한 동기화 옵션에 따라 비밀번호와 패스키의 물리적 저장 경로를 명확히 구분합니다.

비밀번호 방식은 사이트가 요구하는 문자열을 브라우저가 저장해 두었다가 입력란에 채워 넣는 구조이므로, 가짜 위장 사이트에 접속했을 때도 자동완성이 동작하여 피싱 공격에 취약할 수 있습니다. 반면 패스키는 접속한 도메인 주소(Origin)를 브라우저가 직접 검증하여 정확히 일치할 때만 개인키 서명을 생성하므로 주소가 1글자만 다른 피싱 사이트에서는 절대로 인증이 진행되지 않습니다.

비밀번호와 패스키가 실제로 저장되는 구체적 위치

사용자가 크롬에서 ‘저장’ 버튼을 눌렀을 때 데이터가 물리적으로 기록되는 경로는 세 가지로 나뉩니다.

첫째, 크롬 프로필에 구글 계정이 연결된 경우입니다. 이 상태에서 저장한 비밀번호는 구글 계정의 비밀번호 저장소에 업로드되어 클라우드 금고에 보관됩니다. 웹 브라우저 주소창에 직접 이동 주소를 입력하여 접근할 수 있는 구글 비밀번호 관리자(passwords.google.com) 페이지에서 언제든 목록을 확인하고 수정하거나 삭제할 수 있습니다.

둘째, 크롬에 구글 계정으로 로그인하지 않고 단독으로 브라우저를 사용할 때입니다. 이때는 구글 서버로 어떤 데이터도 전송되지 않으며, 사용자 컴퓨터의 로컬 프로필 디렉터리(Windows 기준 AppData 내부의 Chrome User Data 폴더) 내 암호화된 SQLite 데이터베이스 파일에 기록됩니다. 이 비밀번호는 윈도우의 데이터 보호 API(DPAPI)를 통해 현재 윈도우 사용자 계정의 자격증명으로 암호화되므로, 다른 윈도우 계정이나 다른 컴퓨터에서는 파일을 복사해가더라도 해독할 수 없습니다.

셋째, 패스키를 생성했을 때입니다. 패스키의 개인키는 소프트웨어 파일로 평문 저장되지 않으며, 기기의 신뢰할 수 있는 플랫폼 모듈(TPM)이나 스마트폰의 타이탄(Titan) 보안 칩셋, 혹은 종단간 암호화 키로 보호되는 구글 비밀번호 관리자 영역에만 들어갑니다. 구글조차 패스키의 복호화 키를 알지 못하도록 설계되어 있어 서버 유출 사고가 발생해도 사용자의 개인키는 안전합니다.

비밀번호 저장 제안 팝업이 뜨지 않는 이유와 해결 순서

로그인을 마쳤는데도 크롬 우측 상단에 열쇠 모양 아이콘이나 ‘비밀번호를 저장하시겠습니까?’ 팝업이 나타나지 않는 현상은 사용자들이 가장 자주 겪는 오류입니다. 공식 지원 문서에 명시된 원인과 해결 절차는 다음과 같습니다.

가장 흔한 원인은 과거에 해당 사이트에서 로그인할 때 실수로 ‘안 함’ 또는 ‘이 사이트에서 다시 묻지 않음’을 눌러 제외 목록에 등록된 경우입니다. 설정의 ‘저장하지 않음’ 목록에서 해당 도메인을 찾아 X 버튼을 눌러 제거하면 즉시 다시 저장 팝업이 나타납니다.

여러 기기 간 비밀번호와 패스키 동기화 오류 점검

PC에서 등록한 비밀번호나 스마트폰에서 만든 패스키가 다른 기기에서 보이지 않는다면 동기화 파이프라인의 연결 상태를 점검해야 합니다.

첫째, 모든 기기에서 정확히 동일한 구글 이메일 계정으로 크롬에 로그인되어 있는지 확인합니다. 업무용 프로필과 개인용 프로필이 분리된 환경에서는 엉뚱한 프로필에 비밀번호가 저장되어 동기화되지 않는 실수가 자주 발생합니다.

둘째, 크롬 동기화 설정에서 ‘비밀번호 및 패스키’ 항목이 체크되어 있는지 확인합니다. 설정 > 나와 Google의 관계 > 동기화 및 Google 서비스 > 동기화 관리 메뉴로 들어가 ‘모두 동기화’가 켜져 있거나, 맞춤설정에서 ‘비밀번호’ 항목이 활성화되어 있어야 합니다.

셋째, 종단간 암호화 통과를 위한 ‘구글 비밀번호 관리자 PIN’ 확인입니다. 패스키를 새 PC에서 처음 불러올 때는 이전에 스마트폰에서 설정했던 6자리 PIN 번호나 화면 잠금(지문·패턴) 확인을 요구합니다. 이 인증을 통과하지 못하면 보안상의 이유로 패스키 동기화가 일시 정지됩니다.

기기 분실 및 보안 오류 발생 시 대응 순서

패스키나 비밀번호가 등록된 스마트폰이나 노트북을 분실했을 때는 신속한 계정 보호 조치가 필수적입니다.

분실한 기기에서 패스키를 악용하지 못하게 하려면 다른 안전한 기기에서 구글 계정 보안 페이지(myaccount.google.com/security)로 이동한 뒤, ‘내 기기’ 목록에서 분실 기기를 찾아 ‘로그아웃’을 실행합니다. 이 조치가 완료되면 해당 기기에 남아 있던 클라우드 연동 패스키와 비밀번호 접근 권한이 즉시 만료됩니다.

상황별 최적의 인증 수단 선택 기준

모든 사이트에서 무조건 패스키만 쓰거나 비밀번호만 고집하는 것보다 서비스의 특성에 맞춰 인증 방식을 나누는 전략이 보안과 편의성 모두에 유리합니다.

첫째, 금융 포털, 주요 포털 사이트, 클라우드 저장소 등 핵심 계정에는 패스키를 최우선으로 등록하는 편이 안전합니다. 비밀번호 유출이나 피싱 사이트에 속아 인증 번호를 넘겨주는 사고를 원천적으로 차단할 수 있기 때문입니다.

둘째, 가족이나 동료와 계정을 공유해야 하는 구독 서비스나 소규모 커뮤니티에는 복사 및 전달이 용이한 전통적인 무작위 생성 비밀번호가 실용적입니다. 패스키는 특정 개인의 하드웨어 잠금과 강력하게 결합되어 있어 타인과 공유하기 번거롭기 때문입니다.

셋째, 공용 컴퓨터나 PC방, 대여용 노트북에서는 절대로 패스키를 생성하거나 비밀번호를 저장해서는 안 됩니다. 공용 환경에서는 반드시 1회용 로그인이나 2단계 인증 일회용 번호를 활용하고 작업 종료 즉시 게스트 세션을 닫아야 합니다.

사용자가 가장 자주 범하는 관리 실수

비밀번호와 패스키를 관리하는 과정에서 데이터 유실로 이어지는 대표적인 실수는 세 가지 유형으로 집약됩니다.

첫째, 로컬에만 저장된 비밀번호를 백업하지 않고 윈도우를 포맷하는 실수입니다. 크롬에 로그인하지 않고 브라우저 자체에만 비밀번호를 저장해 두었던 사용자는 포맷이나 PC 교체 시 비밀번호가 구글 계정에 남아있을 것으로 착각하기 쉽습니다. 반드시 설정 메뉴의 ‘비밀번호 내보내기’ 기능을 사용해 CSV 파일로 안전하게 백업해 두어야 합니다.

둘째, 패스키를 등록한 뒤 스마트폰의 화면 잠금(PIN, 패턴, 지문)을 임의로 해제해 버리는 실수입니다. 구글 패스키 시스템은 안드로이드 기기 보안 잠금이 켜져 있는 것을 전제 조건으로 동작하므로, 화면 잠금을 ‘설정 안 함’으로 변경하면 등록되어 있던 모든 로컬 패스키가 보안 규정에 따라 강제 삭제됩니다.

셋째, 구글 비밀번호 관리자 복구 PIN을 잊어버리는 실수입니다. 새 기기에서 패스키를 동기화하려면 이 PIN이 반드시 필요한데, 평소 지문으로만 열다 보니 PIN 번호를 잊어버려 새 컴퓨터에서 패스키 금고를 열지 못하는 사례가 빈번합니다. PIN 번호는 안전한 오프라인 수첩이나 별도 메모에 반드시 기록해 두어야 합니다.

자주 묻는 질문

패스키를 등록하면 기존 비밀번호는 자동으로 삭제되나요?

아닙니다. 웹사이트에 패스키를 등록하더라도 기존에 저장해 두었던 비밀번호가 자동으로 지워지지는 않습니다. 사용자는 로그인 화면에서 비밀번호 입력 방식과 패스키 인증 방식 중 원하는 방법을 자유롭게 선택할 수 있으며, 완전히 비밀번호를 없애려면 사이트 계정 설정에서 비밀번호 로그인을 비활성화해야 합니다.

크롬을 삭제했다가 다시 설치하면 저장된 패스키가 복원되나요?

구글 계정에 동기화되어 있던 패스키라면 크롬 재설치 후 동일한 구글 계정으로 로그인하고 화면 잠금 PIN을 입력하면 온전히 복원됩니다. 다만 크롬에 로그인하지 않고 로컬 기기에만 저장했던 패스키는 브라우저 삭제 시 디렉터리가 함께 제거되어 영구히 복구할 수 없습니다.

크롬 패스키를 다른 브라우저나 아이폰에서도 쓸 수 있나요?

네, 크롬에서 생성한 패스키라도 동일한 구글 계정 환경을 공유하거나 표준 QR 코드 인증을 지원한다면 다른 브라우저에서도 사용할 수 있습니다. PC 크롬 화면에 뜨는 QR 코드를 아이폰 카메라로 스캔하면 블루투스 근접 통신을 통해 아이폰의 페이스 아이디로 인증을 승인할 수 있습니다.

비밀번호 내보내기로 저장한 CSV 파일은 안전한가요?

CSV 파일은 암호화되지 않은 순수 텍스트 파일이므로 누구나 메모장으로 열어볼 수 있어 매우 위험합니다. 백업이 끝나면 해당 파일을 안전한 외장 드라이브에 옮겨 암호화 압축하거나, 가져오기 작업을 마친 뒤 즉시 영구 삭제(Shift+Delete)해야 합니다.

여러 명이 쓰는 공용 컴퓨터에서 패스키 저장을 막으려면 어떻게 하나요?

공용 PC에서는 개인 구글 프로필로 로그인하지 말고 크롬 우측 상단 프로필에서 ‘게스트 모드’를 실행하여 사용해야 합니다. 게스트 모드에서는 브라우저 창을 닫는 즉시 방문 기록, 쿠키, 다운로드 기록 및 입력한 모든 자격증명이 흔적 없이 소멸합니다.

패스키가 지원되지 않는 사이트에서는 어떻게 대처해야 하나요?

현재 모든 웹사이트가 패스키 표준을 도입한 것은 아니므로, 패스키를 지원하지 않는 사이트에서는 크롬의 ‘비밀번호 추천’ 기능을 활용해 16자리 이상의 무작위 영문·숫자·특수문자 조합을 생성하고 2단계 인증(OTP)을 활성화하는 것이 최선의 보안 대책입니다.

오늘 할 일과 점검 순서 체크리스트

도해는 본문 권장 절차를 요약한 자체 제작 자료입니다.

1. 구글 계정 연동 및 동기화 상태 확인: 크롬 설정 상단에서 본인의 구글 계정 프로필이 정상 연결되어 있고 ‘비밀번호 및 패스키’ 동기화가 활성화되어 있는지 확인합니다.
2. 저장 제안 및 제외 사이트 목록 정리: 비밀번호 관리자 설정으로 들어가 ‘비밀번호 저장 여부 확인’이 켜져 있는지 확인하고, 하단의 ‘저장하지 않음’ 목록에 실수로 들어간 사이트가 없는지 점검합니다.
3. 주요 포털 및 금융 사이트 패스키 전환: 네이버, 구글, 토스 등 주요 플랫폼의 보안 설정에서 패스키를 등록하여 피싱 공격 방어 체계를 구축합니다.
4. 기기 화면 잠금 및 복구 PIN 백업: 안드로이드 기기의 화면 잠금(지문, PIN) 상태를 유지하고, 구글 비밀번호 관리자 6자리 PIN 번호를 안전한 오프라인 장소에 백업해 둡니다.