비트워든

비트워든(Bitwarden)은 프리미엄 오픈 소스 소프트웨어 비밀번호 관리 서비스로, 웹사이트 자격 증명과 같은 민감한 정보를 암호화된 금고에 저장하는 데 사용된다. 비트워든사(Bitwarden, Inc.)가 소유하고 개발하고 있다.

 기능 
비트워든은 제로 지식 암호화(zero-knowledge encryption)를 사용하므로, 회사 측에서 사용자의 데이터를 볼 수 없다. 이는 데이터를 AES-CBC 256비트로 단대단 암호화하고 PBKDF2 SHA-256 또는 Argon2id를 사용하여 암호화 키를 파생시킴으로써 이루어진다.

로그인을 위해 사용자는 이메일 주소와 비밀번호 조합, 생체 인증, 다요소 인증(2FA), 패스키, 통합 인증(SSO), 또는 모바일/데스크톱 기기의 알림 승인을 통한 비밀번호 없는 인증을 사용할 수 있다.

추가적인 클라이언트 기능으로는 다음과 같은 것들이 있다: 라스트패스, 1Password, Keeper 등 50개 이상의 비밀번호 관리자로부터 데이터 가져오기; 패스키 관리; JSON, 암호화된 JSON, CSV 형식으로 내보내기; 무작위 비밀번호 생성기; 로그인 및 기타 양식의 자동 완성; 이메일 에일리어스 서비스와 통합; 무제한의 플랫폼 및 기기 간 동기화 능력; 무제한 수의 항목 저장; 그리고 사용자 이름과 비밀번호 쌍 외에도 패스키, TOTP 시드, 직불 카드 및 신용카드 번호, 결제 데이터 및 기타 신원 정보, 보안 메모(자유 형식 텍스트)를 포함한 다양한 정보 저장. 각 항목 유형은 사용자 정의 필드와 파일 첨부로 확장될 수 있으나, 파일 첨부는 구독 요금제에 따라 크기가 제한될 수 있다. "Send"라고 불리는 기능은 단대단 암호화된 텍스트 메시지(무료 버전) 및 파일(유료 버전) 공유를 가능하게 한다. 전송된 항목은 선택적으로 만료 날짜, 최대 액세스 제한, 비밀번호를 설정할 수 있다. 비밀번호 확인 도구는 zxcvbn을 사용하여 비밀번호 강도를 평가한다. 또한 Have I Been Pwned? 데이터베이스를 조회하여 자격 증명 유출 여부를 감지한다.

비트워든은 조직 내 컬렉션을 통해 자격 증명 공유를 구현한다. 2024년 현재 특정 조직의 컬렉션은 동일한 조직 비밀 키를 사용하여 암호화되는데, 이는 권한 분리가 각 컬렉션에 대한 별도의 암호화 키가 아닌 권한 부여 계층에서 강제된다는 것을 의미한다.

 가용성 
이 플랫폼은 웹 인터페이스, 데스크톱 애플리케이션, 브라우저 확장, 모바일 앱, 그리고 명령줄 인터페이스를 포함한 다양한 클라이언트 애플리케이션을 호스팅한다. 비트워든은 웹 인터페이스, 데스크톱 애플리케이션(Windows, MacOS, 리눅스), 브라우저 확장(Chrome, Firefox, Safari, Edge, Opera, Vivaldi, Arc, Brave, Tor), 또는 모바일 앱(Android, iOS, iPadOS, watchOS)에서 작동할 수 있다. 50개의 언어 및 방언이 지원되지만, 모든 클라이언트에서 모든 언어를 사용할 수 있는 것은 아니다.

또한 이 플랫폼은 미국 또는 유럽의 무료 클라우드 컴퓨팅 호스팅 동기화 서비스뿐만 아니라, 셀프 호스팅 기능도 제공한다.

 준수 사항 
컴퓨터 클라이언트, 모바일 앱, 그리고 서버의 비트워든 코드베이스는 오픈 소스이다. 2020년 8월, 비트워든은 SOC 2 Type 2 및 SOC 3 인증을 획득했다. 비트워든은 HIPAA, GDPR, CCPA, SOC 2, SOC 3, 그리고 EU-미국 및 스위스-미국 프라이버시 실드 프레임워크를 준수한다.

 보안 감사 
제3자 보안 감사가 매년 실시되며 버그 바운티 프로그램도 수립되어 있다.

2018년 6월, Cliqz는 파이어폭스용 비트워든 브라우저 확장에 대한 개인정보 보호 및 보안 검토를 수행했으며 사용자에게 부정적인 영향을 미치지 않을 것이라는 결론을 내렸다. 그해 10월, 비트워든은 제3자 보안 감사 회사인 Cure53으로부터 보안 평가, 코드 감사 및 암호학 분석을 완료했다.

2020년 7월, 비트워든은 보안 회사 인사이트 리스크 컨설팅(Insight Risk Consulting)으로부터 비트워든 네트워크 경계의 보안을 평가하기 위한 또 다른 보안 감사를 완료했으며, 비트워든 웹 서비스 및 애플리케이션에 대한 침투 테스트 및 취약성 평가를 수행했다. 2021년 8월, 비트워든은 인사이트 리스크 컨설팅에 의해 2021년 네트워크 평가가 다시 완료되었음을 발표했다.

2023년 2월, 비트워든은 2022년 5월과 10월에 Cure53에 의해 각각 수행된 네트워크 보안 평가 및 보안 평가 보고서를 공개했다. 첫 번째는 비트워든 IP, 서버 및 웹 애플리케이션 전반에 걸친 침투 테스트 및 보안 평가와 관련이 있었다. 두 번째는 핵심 애플리케이션, 브라우저 확장, 데스크톱 애플리케이션, 웹 애플리케이션 및 타입스크립트 라이브러리를 포함한 모든 비트워든 비밀번호 관리자 소프트웨어 구성 요소에 대한 침투 테스트 및 소스 코드 감사와 관련이 있었다. Ghacks는 다음과 같이 보도했다:

 평가 
2021년 1월, U.S. 뉴스 & 월드 리포트는 첫 번째 비밀번호 보호 프로그램 비교에서 비트워든을 "최고의 비밀번호 관리자"로 선정했다. 한 달 후, 경쟁 업체인 라스트패스가 무료 버전에서 기능을 제거하려 하자, CNet은 비트워든을 여러 기기 간의 비밀번호 동기화를 위한 최고의 무료 앱으로 추천했으며, 라이프해커는 "대부분의 사람들에게 최고의 비밀번호 관리자"로 추천했다.

리뷰어들은 소프트웨어의 무료 버전에서 제공되는 기능들과, 다른 관리자들에 비해 저렴한 프리미엄 등급의 가격을 주로 칭찬해 왔다. 이 제품은 와이어커터 비밀번호 관리자 비교에서 최고의 "가성비 선택"으로 선정되기도 했다. 비트워든의 보안 중심적인 오픈 소스 구현 또한 리뷰어들로부터 찬사를 받았다.

그럼에도 불구하고 Tom's Guide는 일부 기능이 직관적이지 못하다고 지적했으며, PC Magazine은 비즈니스 등급의 가격이 너무 높다고 비판했다.

비트워든은 쥐트도이체 차이퉁의 2025년 주요 셀프 호스팅 비밀번호 관리자 개요에서, 사용자가 자신의 서버에서 전체 금고를 운영할 수 있게 함으로써 보안 강화와 완전한 통제권을 제공하는 솔루션으로 강조되었다.

 역사 

 2016–2017 
비트워든은 2016년 8월 iOS 및 안드로이드용 모바일 애플리케이션, 크롬 및 오페라용 브라우저 확장, 그리고 웹 기반 "금고"(암호화된 데이터베이스)를 처음 출시하며 데뷔했다. 파이어폭스용 브라우저 확장은 이후 2017년 2월에 출시되었다. 같은 달, 브레이브 웹 브라우저는 선택 사항인 대체 비밀번호 관리자로 비트워든 확장을 포함하기 시작했다. 2017년 9월, 비트워든은 해커원에서 버그 바운티 프로그램을 시작했다.

 2018 
2018년 1월, 비트워든 브라우저 확장이 애플의 사파리 브라우저에 맞게 조정되어 사파리 확장 갤러리를 통해 출시되었다. 2월에는 MacOS, 리눅스, 윈도우용 독립형 데스크톱 애플리케이션으로 데뷔했다. 이는 일렉트론 프레임워크로 제작된 브라우저 확장의 웹 애플리케이션 변형으로 구축되었다. 한 달 후, 윈도우 앱은 마이크로소프트 스토어에서 마이크로소프트 엣지용 비트워든 확장과 함께 출시되었다. 5월에 비트워든은 사용자가 자신의 금고 데이터를 사용하여 스크립트 기반 애플리케이션을 작성할 수 있도록 하는 명령줄 인터페이스 애플리케이션을 출시했다. 2018년 6월, 검토를 거쳐 비트워든은 Cliqz 브라우저에서 선택 사항인 비밀번호 관리자로 사용할 수 있게 되었다 (2020년 중단됨).

 2022 
2022년 9월, 회사는 1억 달러 규모의 시리즈 B 자금 조달을 발표했다. 주도 투자자는 PSG였으며 기존 투자자인 Battery Ventures도 참여했다. 이 투자는 전 세계 사용자와 고객을 지원하기 위한 제품 개발 및 회사 성장을 가속화하는 데 사용될 계획이다.

 2023 
섬네일|upright=1.2|비트워든을 사용한 비밀번호 없는 인증 예시
1월에 비트워든은 스웨덴의 스타트업 Passwordless.dev를 미공개 금액에 인수했다고 발표했다. Passwordless.dev는 개발자들이 WebAuthn 및 FIDO2 표준을 기반으로 비밀번호 없는 인증을 쉽게 구현할 수 있도록 하는 오픈 소스 솔루션을 제공했다.

또한 비트워든은 제3자 개발자들이 애플의 Touch ID 및 Face ID, 마이크로소프트의 윈도우 헬로를 포함한 생체 인식 로그인 기술을 자신의 앱에서 사용할 수 있도록 하는 베타 소프트웨어 서비스를 출시했다.

 2024 
5월 1일, 비트워든은 자체적인 다요소 인증 앱인 Bitwarden Authenticator를 출시했다. 그해 10월, 비트워든은 사용 제한이 있는 SDK를 포함하도록 데스크톱 애플리케이션의 종속성을 변경했다. 이로 인해 일부 사용자들이 소스 코드로부터 애플리케이션을 컴파일하는 것이 방해받을 수 있다는 점 때문에 비트워든이 오픈 소스 원칙에서 멀어지고 있다는 우려가 제기되었다. 비트워든의 CTO 카일 스피어린은 이에 대해 해결할 계획이 있는 문제이며 "단지 버그일 뿐"이라고 답변했다.

 보안 비판 
 2024년 비밀번호 확인 도구 평가 
Hutchinson 등(2024)의 연구는 비트워든을 포함한 14개 비밀번호 관리자의 "비밀번호 확인" 기능을 약한 비밀번호, 유출된 비밀번호, 무작위 생성 비밀번호를 사용하여 조사했다. 저자들은 평가된 제품들이 약하거나 노출된 비밀번호를 일관되지 않게 보고하며 때로는 불완전하게 보고한다는 것을 발견했다. 알려진 유출 비밀번호를 모두 성공적으로 찾아낸 관리자는 없었다. 연구는 이러한 불일치가 사용자에게 잘못된 보안 감각을 줄 수 있다고 결론지었다.

 2025년 DOM 기반 확장 프로그램 클릭재킹 
보안 연구원 마렉 토트(Marek Tóth)는 2025년 8월 9일 데프 콘 33에서 비트워든을 포함한 여러 비밀번호 관리자의 브라우저 확장 프로그램에서 취약점을 발표했다. 기본 설정 상태에서 이러한 확장 프로그램들은 DOM 기반 확장 클릭재킹 기술에 노출되어 있어, 공격자가 단 한 번의 클릭만으로 사용자 데이터를 탈취할 수 있는 것으로 나타났다. 영향을 받은 비밀번호 관리자 업체들은 2025년 4월에 통보를 받았다. 토트에 따르면 비트워든 버전 2025.8.2(2025년 8월 31일)에서 해당 문제가 해결되었다.

 같이 보기 
 비밀번호 관리자 목록

 각주 

 외부 링크 

 

분류:암호 소프트웨어
분류:윈도우 소프트웨어
분류:리눅스 소프트웨어
분류:인터넷 익스플로러 추가 기능
분류:C 샤프로 작성된 자유 소프트웨어
분류:IOS 소프트웨어
분류:구글 크롬 확장 프로그램
분류:GPL 라이선스 소프트웨어
분류:안드로이드 소프트웨어
분류:MacOS 소프트웨어