2FA 시크릿 키란? Base32·TOTP 쉽게 이해하기

2FA 시크릿 키는 인증 앱이 로그인 때 입력하는 6자리 코드로 바꿔 주는, 영문자와 숫자로 이루어진 짧은 문자열입니다. 주문하신 상품의 전달 내용에 이 키가 들어 있다면, 비밀번호 다음으로 중요한 항목이지만 구매자가 가장 자주 잘못 입력하거나 다른 값과 혼동하는 항목이기도 합니다. 이 가이드에서는 이 문자열이 무엇인지, Base32는 어떻게 생겼는지, 그리고 시크릿 키가 백업 코드나 QR 코드 내용과 어떻게 다른지 설명합니다.

또한 전달된 줄에서 시크릿 키를 찾아내고 몇 초 만에 제대로 작동하는지 확인하는 방법도 알려 드립니다. 파일 안의 어떤 문자열을 보더라도 그것이 시크릿 키인지, 백업 코드인지, 아니면 다른 값인지 구분할 수 있게 됩니다.

2FA 시크릿 키란 무엇이며 6자리 코드는 어떻게 만들어질까

시간 기반 일회용 비밀번호(TOTP, RFC 6238에 정의)는 두 가지 재료로 만들어집니다. 공유된 시크릿과 현재 시간입니다. 2FA를 설정하면 플랫폼이 시크릿을 생성해 한 부를 보관하고, 나머지 한 부는 사용자의 인증 앱이 보관합니다. 30초마다 양쪽이 시크릿과 시계를 이용해 똑같은 계산을 하고, 같은 6자리 숫자에 도달합니다.

여기서 세 가지 실용적인 결론이 나옵니다.

• 시크릿 키는 계정의 두 번째 열쇠입니다. 이 2FA 설정이 유효한 동안에는 키를 가진 사람이면 누구나 어떤 기기에서든 유효한 코드를 만들 수 있습니다.
• 코드는 어디에도 저장되지 않습니다. 코드는 30초마다 새로 계산되므로, 지난 코드를 캡처해 둬도 아무 소용이 없습니다.
• 시계가 중요합니다. 코드를 만드는 기기의 시간이 실제 시간과 1분 이상 어긋나 있으면, 올바른 시크릿 키로도 거부되는 코드가 나옵니다.

Base32 문자는 어떻게 생겼을까, 그리고 흔한 오타

시크릿 키는 Base32로 표기합니다. Base32는 A부터 Z까지의 대문자 26개와 2부터 7까지의 숫자로 이루어진 문자 집합이며, 사용할 수 있는 문자는 이것이 전부입니다. 숫자 0, 1, 8, 9와 특수문자는 절대 나오지 않습니다. 설명을 위한 예시(실제 계정의 키가 아님)는 다음과 같습니다: JBSWY3DPEHPK3PXP. 실제 시크릿 키는 보통 16~32자 길이입니다.

유효한 문자가 32개뿐이어서 대부분의 오타는 쉽게 찾아낼 수 있습니다.

• 키 중간에 0, 1, 8이 있다면 어떤 문자를 잘못 읽었다는 뜻입니다. 0은 대개 알파벳 O, 1은 대개 I 또는 L, 8은 대개 B입니다.
• 소문자는 대부분의 앱이 알아서 변환하므로 보통 문제가 되지 않습니다.
• 끝에 붙은 "=" 기호는 패딩입니다. 많은 앱이 있어도 없어도 키를 받아 줍니다.
• 눈에 보이지 않는 추가 문자, 예를 들어 텍스트 파일에서 복사할 때 따라오는 끝의 공백이나 줄바꿈은 "유효하지 않은 키"라는 메시지의 흔한 원인입니다.

otpauth URI, QR 코드, 텍스트 키의 차이

같은 시크릿이 세 가지 형태로 전달될 수 있으며, 이를 혼동하면 혼란이 커집니다.

• 텍스트 키. Base32 문자열 그 자체입니다. 인증 앱에서는 설정 키 또는 수동 입력 키라고 부릅니다.
• QR 코드. otpauth URI를 담은 이미지로, 키를 직접 입력하지 않고 휴대폰으로 스캔할 수 있게 해 줍니다.
• otpauth URI. otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example 같은 한 줄의 텍스트입니다. secret= 뒤의 값이 Base32 키이고, 나머지는 라벨과 issuer, 알고리즘, 자릿수, 주기 같은 설정입니다.

QR 이미지나 otpauth 링크만 있다면, 시크릿은 secret= 뒤에서 다음 & 앞까지의 텍스트입니다. 표준 설정은 SHA-1, 6자리, 30초 주기를 사용하며, 시크릿만 입력하면 앱이 이 기본값을 가정합니다. QR 코드를 스캔하거나 전체 URI를 가져오면 그 안에 있는 기본값이 아닌 설정도 함께 적용됩니다.

2FA 시크릿 키, 백업 코드, 복구 이메일의 차이

이 세 가지는 같은 계정을 보호하지만 하는 일은 완전히 다릅니다.

• 2FA 시크릿 키. 30초마다 새 코드를 만드는 오래 쓰이는 Base32 문자열입니다. 2FA를 초기화하거나 다시 설정할 때만 바뀝니다.
• 백업 코드. 인증 앱을 쓸 수 없는 날을 위해 플랫폼이 제공하는 일회용 코드입니다. 각 코드는 한 번만 쓸 수 있습니다. Base32 시크릿이 아니므로 인증 앱이나 TOTP 도구에서는 사용할 수 없습니다.
• 복구 이메일. 코드가 아니라 받은 편지함입니다. 로그인 확인 메일과 재설정 링크가 이곳으로 옵니다. 전달된 줄에서는 이메일 주소로 나타나며, 보통 그 메일함 자체의 비밀번호가 뒤따릅니다.

시크릿 키는 매일 쓰는 코드를 만들고, 백업 코드는 스페어 타이어이며, 복구 이메일은 다른 것이 고장 났을 때 돌아올 수 있는 길입니다. 기록할 때도 이 세 가지를 따로 구분해서 표시하세요.

전달된 줄에서 시크릿 키를 찾고 테스트하는 방법

상품은 username:password:email:email_password:auth_token 같은 줄로 이루어진 TXT 파일로 전달되며, 정확한 항목은 카테고리에 따라 다릅니다. 카테고리에 2FA 키가 포함되어 있다면 그 줄에 항목이 하나 더 들어 있습니다. 위치를 무작정 세지 말고, 카테고리 설명을 읽은 다음 파일의 첫 줄과 비교해 보세요.

생김새로도 항목을 구분할 수 있습니다.

• 시크릿 키는 16자 이상이며 대문자 영문과 2~7 숫자로만 이루어져 있고 특수문자가 없습니다.
• auth_token은 긴 16진수 문자열입니다. 세션 토큰이지 코드 생성기가 아니므로 시크릿 키를 대신할 수 없습니다. 이 방식은 auth token으로 트위터에 로그인하는 방법을 참고하세요.
• 비밀번호에는 콜론이 들어갈 수 있어서, 단순히 ":"로 나누면 줄이 깨지는 경우가 있습니다.

모든 줄이 같은 구조인지 확인하려면 샘플을 형식 판별 도구에 붙여 넣으세요. 시크릿이 들어 있는 열만 따로 뽑으려면 split-by-delimiter를 사용하세요.

그다음 몇 초 만에 시크릿을 테스트합니다. 무료 2FA 도구를 열고 시크릿을 붙여 넣으면 카운트다운과 함께 6자리 코드가 나타납니다. 도구가 유효하지 않은 시크릿이라고 알려 주면 위의 오타 목록으로 돌아가 확인하세요. 코드는 나오는데 로그인에서 거부된다면 기기의 시계를 확인하고 2FA 코드가 작동하지 않을 때 해결 방법을 따라 보세요.

여러 계정을 관리할 때 시크릿을 안전하게 보관하는 방법

전달된 줄에는 비밀번호와 2FA 시크릿이 함께 들어 있는 경우가 많아서, 파일을 여는 사람은 두 가지 인증 요소를 모두 갖게 됩니다. 그래서 항목별이 아니라 파일 전체를 보호해야 합니다.

• 파일은 접근이 제한된 하나의 비공개 폴더에 보관하고, 메신저 앱, 공유 문서, 스크린샷은 피하세요.
• 전달받은 직후 모든 시크릿을 테스트하고 계정 옆에 날짜를 적어 두면 문제를 일찍 발견할 수 있습니다.
• 각 문자열이 무엇인지 라벨을 붙여서 일회용 백업 코드가 인증 앱에 들어가는 일이 없게 하세요.
• 복사본의 수를 세어 두세요. 같은 시크릿을 두 번째 인증 앱에 등록해 두는 것은 합리적인 백업이지만, 복사본마다 유출될 수 있는 장소가 하나씩 늘어납니다.

더 넓은 계획은 2단계 인증과 복구 계획을, 상품 설명에 쓰이는 용어는 계정 용어집을 읽어 보세요. Phone Verified Aged Accounts 같은 카테고리를 비교할 때는 설명을 읽고 전달 파일에 무엇이 들어 있는지 확인하세요. 2FA 키가 필요하다면 주문 전에 확인하거나 텔레그램으로 고객 지원에 문의하세요.

자주 묻는 질문

2FA 시크릿 키는 어떻게 생겼나요?

A부터 Z까지의 대문자와 2부터 7까지의 숫자로 이루어진 문자열이며, 보통 16~32자입니다. 문서의 예시에서는 JBSWY3DPEHPK3PXP 같은 형태로 나옵니다. 일부 플랫폼은 공백이나 하이픈으로 나눈 그룹으로 보여 줍니다.

2FA 시크릿 키와 백업 코드는 같은 건가요?

아니요. 시크릿 키는 그 2FA 설정이 유효한 동안 30초마다 새 코드를 만듭니다. 백업 코드는 한 번만 쓸 수 있는 일회용 코드이며 인증 앱에서는 사용할 수 없습니다.

QR 코드에서 시크릿 키를 얻을 수 있나요?

네. 설정용 QR 코드에는 otpauth URI가 담겨 있고, 그 텍스트에서 secret= 뒤의 값이 시크릿 키입니다. 그 텍스트는 키 자체만큼 민감하므로 외부에 공개하지 마세요.

어떤 시크릿 키에는 왜 공백이나 하이픈이 있나요?

읽기 쉽게 하려는 것으로, 보통 네 글자씩 묶습니다. 앱이 키를 거부하면 공백과 하이픈을 지우세요. 무료 2FA 도구는 그대로 붙여 넣어도 받아 줍니다.

같은 시크릿 키를 두 앱에서 동시에 쓸 수 있나요?

네. 같은 시크릿을 가지고 시계가 정확한 앱이나 기기라면 모두 같은 코드를 보여 줍니다. 백업용으로 편리하지만, 복사본마다 시크릿이 노출될 수 있는 장소가 하나씩 늘어납니다.