어제오늘 이틀에 걸쳐 에어갭 노트북에 진짜 백업다운 백업을 해뒀다. 비밀번호 통째로 옮기기, 그리고 진짜 개인키 하나 만들어보기.
1. 프로톤 패스 비밀번호를 통째로 이전했다
평소 쓰던 Proton Pass의 비밀번호들을 에어갭 노트북 안에 오프라인 백업으로 옮겨두고 싶었다. 순서는 이랬다.
먼저 Proton Pass 웹앱에서 "PGP로 암호화된 JSON이 든 ZIP" 형식으로 내보내기 — 패스프레이즈로 한 번 잠근 상태로 다운로드된다. 이 암호화된 파일을 에어갭 노트북으로 옮기고, GnuPG로 복호화(gpg -d)해서 평문 JSON을 잠깐 꺼냈다.
그다음 오프라인 비밀번호 관리자 KeePassXC를 설치(정확히는 AppImage라 FUSE가 없어서 --appimage-extract로 풀어서 실행)하고, 새 데이터베이스를 하나 만들었다. KeePassXC엔 마침 Proton Pass 전용 Import Wizard가 있어서, CSV로 변환할 필요도 없이 그 JSON을 그대로 넣으면 항목들이 알아서 인식됐다.
가져오기 끝나자마자 평문 JSON은 shred -u로 바로 지웠다. 이제 이 비밀번호들은 인터넷 근처에도 안 가는 노트북 안, 그것도 암호화된 DB 파일 하나로만 존재한다.
2. 이안 콜먼으로 개인키도 직접 만들어봤다
겸사겸사 이안 콜먼(Ian Coleman)의 BIP39 니모닉 변환기도 이 노트북에 올려서, 직접 개인키를 생성하는 것도 해봤다. 이 도구는 원래부터 오프라인 사용을 전제로 만들어진 정적 페이지라, 인터넷 없이 그냥 파일 열기만으로 바로 돌아간다.
화면에 큼지막하게 "이 페이지가 생성한 정보를 누구와도 공유하면 자산을 도둑맞을 수 있다"는 경고 문구가 떠 있는데, 정확히 그 의도대로 써야 하는 도구다 — 여기서 나오는 니모닉, 시드, 루트키는 전부 이 화면 밖으로 절대 나가면 안 되는 값들이니까.
에어갭 환경에서 이 도구로 직접 개인키를 뽑아보니, 왜 다들 이런 도구조차 인터넷 되는 컴퓨터에서 함부로 열면 안 된다고 하는지 체감이 됐다. 화면 하나 여는 것부터가 이미 보안 절차인 셈이다.
비밀번호 백업이랑 개인키 생성, 둘 다 이 노트북이 있어서 마음 편하게 할 수 있었다. 에어갭 노트북 하나 만들어두길 잘했다.