시크릿 창을 닫아도 다운로드, 북마크, 클립보드의 비밀번호는 남는다

PC방이나 동료 노트북에서 시크릿 창을 열고, 데이터베이스 비밀번호를 만든 뒤 TXT로 내보내고 창을 닫습니다. 「흔적이 없다」고 생각합니다. 다음에 그 자리에 앉은 사람은 다운로드 폴더에서 그 평문 파일을 그대로 엽니다. 앞글에서는 복사한 뒤 클립보드를 누가 또 읽는지, 그 앞에서는 화면 공유와 스크린샷에서 누가 비밀번호를 보는지를 적었습니다. 이번 글의 오해는 더 흔합니다. 시크릿 창을 닫는 것과, 비밀이 이 컴퓨터에서 사라지는 것은 같은 일이 아닙니다.

비밀번호 생성기 설명서도, 「시크릿 모드 켜는 법」 입문도 아닙니다. 질문은 하나뿐입니다. 창을 닫은 뒤 비밀번호, 키, 암호화 파일이 이 기기의 어디에 남느냐. MyPassGen 도구는 가입 없이 바로 씁니다. 생성, 내보내기, 암·복호화는 지금 탭에서 끝나고, 서버에 평문 사본을 남기지 않습니다. 시크릿 창이 막는 것은 브라우저의 방문 기록입니다. 운영체제의 다운로드 폴더는 막지 않습니다.

시크릿이 지우는 층

Chrome 고객센터는 이렇게 적습니다. 시크릿 세션은 모든 시크릿 창을 닫으면 종료됩니다. 종료 후 Chrome은 사이트 데이터와 방문한 사이트 기록을 보관하지 않습니다. 세션이 열려 있는 동안에는 페이지가 동작하도록 쿠키와 사이트 데이터를 메모리에 잠시 둡니다. 창을 모두 닫아야 버립니다. 단축키는 Windows / Linux의 Ctrl+Shift+N, Mac의 ⌘+Shift+N입니다. 주소 표시줄 오른쪽 시크릿 아이콘 옆에 숫자가 보이면 다른 시크릿 창이 아직 열려 있습니다. 지금 탭만 닫아도 세션은 끝나지 않습니다.

같은 페이지는 시크릿이 하지 않는 일도 적습니다. Google 계정에 자동으로 로그인해 주지 않습니다. 다만 시크릿에서 Gmail이나 다른 사이트에 직접 로그인하면, 그 사이트는 이번 활동을 기억할 수 있습니다. 방문한 웹사이트, 학교나 회사 네트워크, 인터넷 서비스 제공자는 이번 접속을 여전히 볼 수 있습니다. 시크릿이 제한하는 것은 「이 기기의 브라우저 기록」이지 「경로 전체의 로그」가 아닙니다.

Safari의 말도 거의 같습니다. Apple 지원은 개인정보 보호 브라우징이 방문한 페이지와 자동 완성 정보를 저장하지 않고, 연 페이지를 iCloud에 넣지 않아 다른 Apple 기기의 탭 목록에 보이지 않는다고 적습니다. Handoff도 개인정보 보호 윈도우를 다른 기기로 넘기지 않습니다. 쿠키와 웹사이트 데이터 변경은 남지 않습니다. 스마트 검색 필드에서 이번 검색은 최근 결과에 들어가지 않습니다. 모두 브라우저 자신의 기록 층입니다.

Firefox 도움말은 「저장하지 않는 것」을 이렇게 나눕니다. 방문한 페이지는 기록 메뉴와 주소창 드롭다운에 안 들어가고, 양식과 검색창 항목은 저장되지 않으며, 다운로드 목록은 사생활 보호를 끝낸 뒤 남지 않고, 쿠키와 캐시는 마지막 사생활 보호 창을 닫으면 버려집니다. Mozilla는 흔한 오해도 따로 적습니다. 사생활 보호 모드는 ISP에게 숨겨 주지 않고, IP를 가리지 않으며, 사이트가 사용자를 알아보는 일을 막지 않습니다. 세 브라우저가 이 층에서 말하는 바는 같습니다. 창을 닫아 지우는 것은 브라우저 프로필이지, 디스크도 아니고 네트워크 맞은편도 아닙니다.

Microsoft Edge의 InPrivate도 같은 논리입니다. 이번 방문을 기록에 쓰지 않을 뿐, 기기에 받은 파일은 남습니다. 아래에서는 브랜드별 설명서를 반복하지 않습니다. 창을 닫은 뒤 직접 열어 볼 수 있는 세 곳만 대조합니다. 다운로드 폴더, 북마크 막대, 시스템 클립보드입니다.

다운로드 파일은 디스크에 남는다

Chrome 고객센터 원문은 이렇습니다. 시크릿을 종료한 뒤에도 Chrome은 저장한 북마크와 다운로드한 파일을 보관합니다. 다운로드한 파일은 직접 삭제할 때까지 기기에 남습니다. 읽기 목록에 저장한 항목은 일반 창에서도 보입니다. 브라우저 다운로드 패널의 「이번에 받은 목록」은 비어 있을 수 있습니다. 파일 자체는 「다운로드」 폴더에 있고, 일반 창에서 받은 파일과 다르지 않습니다.

Safari는 더 단정합니다. 내려받은 항목은 다운로드 목록에 나타나지 않습니다. 그러나 항목은 컴퓨터에 남습니다. 개인정보 보호 브라우징을 끝낼 때 Apple이 먼저 권하는 마무리는, 그 창에서 받은 항목을 지우라는 것입니다. Firefox도 두 가지를 가릅니다. 다운로드 라이브러리의 항목은 사생활 보호 세션이 끝나면 사라지고, 컴퓨터에 받은 파일은 저장됩니다. 최근 Firefox는 사생활 보호 창에서 받을 때, 파일이 기기에 남고 이 기기를 쓰는 사람이 창을 모두 닫아도 볼 수 있다고 알려 줍니다.

MyPassGen으로 떨어지면 파일을 쓰는 길은 세 가지입니다. 비밀번호 생성 페이지는 TXT를 내보낼 수 있고, 파일 이름은 mypassgen-passwords- 뒤에 시각이 붙습니다. 파일은 이 기기에만 내려가고 다시 올라가지 않습니다. 파일 암호화는 브라우저에서 AES-256-GCM으로 스트림 암·복호화를 하고, 파일 하나 상한은 5 GB이며, 결과는 .lock 또는 .enc입니다. 복호화하면 원래 이름으로 평문을 한 번 더 받습니다. UTM 제거 페이지도 정리한 링크를 TXT로 내보낼 수 있습니다. 세 가지 모두 가입 없이 바로 씁니다. 시크릿 창이 막는 것은 chrome://downloads의 목록이지, Finder나 탐색기에 있는 그 파일이 아닙니다.

복호화는 특히 빠집니다. 시크릿에서 .lock을 열고 풀면, 브라우저가 평문을 기본 다운로드 폴더에 넣습니다. 창을 닫은 뒤 암호문과 평문이 같은 폴더에 나란히 있을 수 있습니다. Network는 암·복호화 요청 본문에 파일 전체가 업무 데이터로 POST되지 않았음을 보여 줄 수 있습니다. 디스크에 평문이 없다는 뜻은 아닙니다. 「올렸는지」는 브라우저에서 암호화할 때 평문이 올라가지 않았는지 그 자리에서 확인하는 방법을 보고, 「파일이 남았는지」는 다운로드 폴더를 엽니다.

북마크는 주소 전체를 남긴다

세 회사 공식 문서가 모두 인정합니다. 시크릿 또는 사생활 보호 창에서 새로 만든 북마크는 저장됩니다. Chrome은 읽기 목록도 넣습니다. 북마크는 일반 프로필에 쓰이므로, 창을 닫은 뒤에도 북마크 막대와 북마크 관리자에 있습니다. 버그가 아니라 제품 설계입니다. 북마크는 「남기겠다고 한 것」으로 취급됩니다.

일회용 링크 형태는 …/s.html?id={id}#{key}입니다. 키는 # 뒤에 있고, 규격상 HTTP 요청 줄에 들어가지 않아 접속 로그에는 이 조각이 보이지 않습니다. 다른 글에서 왜 키를 # 뒤에 두는지를 적었습니다. 북마크가 저장하는 것은 조각까지 포함한 URI 전체입니다. 시크릿에서 이 링크를 북마크에 넣으면, 자격 정보를 이 브라우저의 장기 저장소에 쓰는 셈입니다. 다음에 북마크 막대를 연 사람은 기록을 뒤질 필요 없이 읽기 페이지를 엽니다. 읽기 페이지는 로그인이 필요 없습니다.

주소창 자동 완성은 가까운 다른 길입니다. 시크릿 세션 자체는 이번 방문을 기록에 쓰지 않는 경우가 많아서, 창을 모두 닫으면 주소창 드롭다운에 방금 일회용 링크가 나와서는 안 됩니다. 다만 북마크를 넣었다면 호스트 이름을 칠 때 북마크 일치가 주소 전체를 끌어오고, # 뒤의 키도 같이 나옵니다. 「기록이 지워졌다」와 모순되지 않습니다. 일치 출처가 북마크 저장소로 바뀐 것입니다.

MyPassGen에서 일회용 링크를 만들면 결과 영역에 전체 링크가 나오고, 복사는 navigator.clipboard.writeText를 탑니다. 만들기와 읽기 모두 로그인이 없고, 평문 상한은 32 KB이며, 서버는 암호문만 잠시 둡니다. 확인할 것은 「서버가 키를 보느냐」가 아닙니다. 이 컴퓨터의 북마크 막대에 s.html?id=…#… 전체가 있느냐입니다. 입으로 말하거나, 상대가 읽기 페이지를 직접 열게 할 수 있으면, 남의 북마크에 전체 링크를 넣지 마세요.

클립보드는 창과 같이 닫히지 않는다

시크릿 창이 닫는 것은 브라우저 프로세스의 사이트 데이터이지, 운영체제의 클립보드가 아닙니다. 시크릿에서 복사를 누르면 문자열은 시스템 공유 버퍼로 들어갑니다. 창을 닫은 뒤에도 메모장에서 Ctrl+V / ⌘+V로 붙을 수 있고, 새로운 복사가 덮어쓸 때까지 남습니다. 「시크릿을 켰는가」와 무관합니다. 처리 순서는 비밀번호를 복사한 뒤, 클립보드는 누가 또 읽는가에 있습니다.

따로 짚을 것은 Windows 클립보드 기록입니다. Win+V는 최대 25건입니다. 고정하지 않은 항목은 다시 시작하면 비고, 고정한 항목은 남습니다. 최근 Chrome은 Windows 10 / 11에서 시크릿 창의 복사를 클립보드 기록과 클라우드 클립보드에 쓰지 않으려 합니다. 막는 것은 「기록 목록에 한 줄 더 생기는 일」이지, 지금 한 칸의 클립보드가 아닙니다. 창을 닫고 바로 붙여넣으면 테스트 비밀번호가 아직 있는 경우가 많습니다. Android처럼 같은 제외 규칙이 없는 플랫폼에서는, 시크릿 복사가 동기화에 안 들어간다고 가정하지 마세요.

Apple의 유니버설 클립보드는 Handoff를 탑니다. 같은 Apple 계정, 기기가 가깝고, Bluetooth와 Wi-Fi가 켜져 있으면 한 기기에서 복사한 내용을 옆 기기에서 붙일 수 있습니다. 시크릿 창을 닫아도, 이미 다른 기기로 간 한 부를 자동으로 거두지 않습니다. 비밀번호 관리자는 짧은 노출 창을 인정하고, 약 90초 뒤에 복사 내용을 지우는 제품이 있습니다. 브라우저 생성 페이지는 보통 카운트다운을 대신해 주지 않습니다. MyPassGen은 복사에 성공해도 자동으로 비우지 않습니다. 덮어쓰려면 의미 없는 한 글자를 다시 복사하거나, 시스템 패널에서 지웁니다.

확장은 기본이 꺼짐, 켠 것만 예외

Chrome은 기본적으로 시크릿 창에서 확장을 실행하지 않습니다. Chrome 웹 스토어 도움말은 스위치를 확장 세부정보에 둡니다. 「시크릿 모드에서 사용」을 켭니다. 시크릿 모드나 게스트 프로필에서는 스토어에서 새 확장을 설치할 수도 없습니다. 기업 관리자는 사용자 대신 확장을 시크릿에 자동으로 넣을 수 없습니다. 직원이 관리 확장을 우회하지 못하게 하려면 시크릿 자체를 꺼야 합니다.

기본이 꺼진 이유는, 광고 추적 확장이 이번 방문을 보지 못하게 하기 위해서입니다. 직접 스위치를 켠 확장은 이 보호 밖에 있습니다. 세부정보에 「방문하는 웹사이트의 모든 데이터를 읽고 변경」이 있고 시크릿 사용까지 켜져 있으면, 생성 페이지의 보이는 비밀번호와 결과 영역의 일회용 링크 전체는 일반 창과 다르지 않습니다. 시크릿은 「확장이 입력칸을 못 읽는다」는 보장이 아닙니다. 「켜지 않은 확장은 이번엔 로드하지 않는다」는 뜻입니다.

확인은 짧습니다. 일반 창에서 chrome://extensions를 열고 각 확장의 「세부정보」를 눌러, 「시크릿 모드에서 사용」이 켜져 있는지 봅니다. 이번 시연에만 확장이 필요하면 쓰고 스위치를 끄세요. 시크릿에 오래 남겨 두지 마세요. 비밀번호 관리자 확장이 시크릿에서 자동 채우기를 하려면 이 스위치를 켜야 합니다. 복사를 한 번 줄이는 대신, 확장이 지금 페이지를 보게 하는 분명한 교환입니다.

대조표: 창을 닫은 뒤 어디에 남나

방금 시크릿 창에서 만든 테스트 비밀번호, 또는 테스트 문장만 적은 일회용 링크를 기준으로, 시크릿 창을 모두 닫은 뒤에는 적어도 아래 길로 갈립니다. 차이는 알고리즘 이름이 아닙니다. 브라우저가 어느 층을 지운다고 약속하는지, 운영체제가 어느 층을 남기는지입니다.

생성 페이지가 Web Crypto로 난수를 뽑고 Network에 비밀번호 본문이 없다면, 「업로드」 한 줄만 닫힌 것입니다. 표의 아래 네 줄은 그대로 열려 있습니다. 자기 기기에서 할 수 있으면, 내보낸 파일과 일회용 링크 전체를 남의 디스크에 둘 이유가 없습니다. 공용 PC를 써야 한다면 창을 닫는 일이 마무리가 아닙니다. 파일을 지우고, 북마크를 지우고, 클립보드를 덮어쓰는 일이 마무리입니다.

그 자리에서 확인하기

아래 단계는 어떤 브랜드 약속에도 기대지 않습니다. 실제 계정에 쓰지 않을 비밀번호와, 테스트 문장만 적은 일회용 링크를 씁니다. 지금 쓰는 마스터 비밀번호나 아직 읽히지 않은 실제 비밀로 연습하지 마세요. 먼저 모든 시크릿 창을 닫았는지 확인합니다. Chrome 시크릿 아이콘 옆에 숫자가 있으면 아직 창이 남아 있습니다.

1. Ctrl+Shift+N 또는 ⌘+Shift+N으로 시크릿 창을 열고 생성 페이지에서 기본 16자 테스트 비밀번호를 만듭니다. 로그인에 쓰지 마세요. 개발자 도구 Network를 열고 「로그 보존」을 켠 뒤, 생성 후 요청 본문에 이 문자열이 없는지 확인합니다. 업로드 확인은 브라우저에서 암호화할 때, 평문이 올라가지 않았는지 그 자리에서 확인하는 방법을 따릅니다.
2. 「TXT로 내보내기」를 누릅니다. 기기 다운로드 폴더에서 mypassgen-passwords-로 시작하는 파일을 찾아 열고, 테스트 비밀번호가 들어 있는지 확인합니다. 이 파일을 누구에게도 보내지 마세요.
3. 테스트 문장만 적은 일회용 링크를 하나 더 만들고, 전체 링크를 북마크에 넣습니다. 시크릿 창을 모두 닫습니다. 일반 창의 북마크 막대나 북마크 관리자를 열어 s.html?id=…#… 전체가 남았는지 확인하고, 기록 페이지에서 이번 방문이 없는지 확인합니다.
4. 다운로드 폴더로 돌아갑니다. TXT는 아직 있어야 합니다. 브라우저 자체 다운로드 페이지를 열면 목록에는 이 항목이 없을 수 있습니다. 「목록은 지워지고 파일은 안 지워진」 바로 그 상태입니다.
5. 방금 복사를 눌렀다면 메모장을 열어 한 번 붙여넣고, 지금 클립보드가 테스트 비밀번호인지 봅니다. 한 글자 x를 다시 복사한 뒤 한 번 더 붙여, 덮어쓰기가 됐는지 확인합니다. Windows이고 클립보드 기록이 켜져 있으면 Win+V로 목록을 봅니다. 최근 Chrome은 시크릿 복사를 기록에 안 넣었을 수 있습니다. 지금 한 칸은 그래도 덮어써야 합니다.
6. 일반 창에서 chrome://extensions(또는 해당 브라우저의 확장 페이지)를 열고 세부정보를 눌러, 「시크릿 모드에서 사용」이 켜진 확장을 적어둡니다. 필요 없으면 끕니다.

MyPassGen 비밀번호 생성은 이 경계를 따릅니다. 랜덤 모드는 6–128자, 기본 16자, 8자 미만이면 약하다고 알립니다. 결과는 보이는 텍스트로 나오고, 복사는 writeText를 타며, 내보내기는 이 기기에만 씁니다. 가입 없이 바로 씁니다. 계정과 비밀번호 보관함이 없습니다. 확인할 것은 다운로드 폴더와 북마크 막대입니다. 창 오른쪽 위의 시크릿 아이콘이 아닙니다.

창을 닫은 뒤 마무리

오늘 시크릿에서 끝내야 하는 한 번은 이 순서로 마무리합니다. 먼저 시크릿 창을 모두 닫습니다. 다운로드 폴더를 열어 테스트 TXT, .lock, 풀어 낸 평문을 지우고, 휴지통을 비웁니다. 북마크 관리자를 열어 #가 붙은 테스트 일회용 링크를 지웁니다. 클립보드를 덮어씁니다. 「다운로드」 폴더를 클라우드가 동기화하고 있으면, 같은 계정으로 로그인한 다른 기기에서 사본도 지워졌는지 확인합니다.

공용 PC, 발표용 노트북, 회의실 노트북은 「다음에 앉은 사람이 다운로드와 북마크를 본다」를 기본값으로 둡니다. 이런 환경에서는 실제 비밀번호를 내보내지 말고, 실제 파일을 풀지 말고, 일회용 링크를 북마크에 넣지 마세요. 짧은 비밀을 원격 동료에게 넘겨야 하면 링크를 글로 보내고, 읽기 페이지는 로그인이 필요 없습니다. 시크릿을 닫는 일이 상대를 대신해, 또 이 공용 PC를 대신해 파일을 거둔다고 기대하지 마세요.

「창을 닫은 뒤 다운로드 폴더를 연다」와 「북마크 막대를 한 번 본다」를 하면, 이 글의 질문에 답할 수 있습니다. 시크릿 창을 닫은 뒤 누가 비밀번호를 보느냐는, 파일이 어디에 떨어졌는지, 북마크가 URL 전체를 남겼는지, 클립보드를 덮어썼는지에 달려 있습니다. 시크릿이 기록을 지웠다는 것은, 다음에 기록 페이지를 연 사람이 이번 주소를 못 본다는 뜻일 뿐입니다. 이미 디스크와 북마크 저장소에 쓴 한 부는 거두지 않습니다.

자주 묻는 질문

시크릿 모드면 비밀번호가 안 남나?

아닙니다. 보장하는 것은 이번 방문이 기록과 쿠키에 안 쓰인다는 점입니다. 내려받은 파일, 새로 만든 북마크, 지금 클립보드, 그리고 시크릿에서 로그인한 사이트는 그 보장 밖에 있습니다. 공식 문서는 「북마크와 다운로드는 남긴다」를 「기록은 남기지 않는다」와 같은 페이지에 나란히 적습니다.

지금 탭만 닫아도 시크릿이 끝나나?

아닙니다. Chrome은 모든 시크릿 창을 닫으라고 합니다. 아이콘 옆 숫자는 아직 창이 열려 있다는 뜻입니다. Safari도 다른 사람이 이 페이지를 계속 보지 못하게, 아직 열린 개인정보 보호 윈도우를 닫으라고 합니다. 탭 하나만 닫으면 세션은 남습니다.

비밀번호 생성이나 TXT 내보내기에 가입이 필요한가? 시크릿이 파일을 올리나?

가입은 필요 없습니다. 생성과 내보내기는 지금 탭에 남아야 합니다. 내보내기는 브라우저가 Blob을 기기 다운로드 폴더에 쓰는 일이고, 서버로 POST하는 일이 아닙니다. Network를 여세요. 내보낸 뒤 요청 본문에 그 비밀번호가 나와서는 안 됩니다. 파일이 디스크에 남는 것은 운영체제의 다운로드이지, 사이트가 되돌려 보낸 것이 아닙니다.

게스트 모드가 시크릿보다 깨끗한가?

Chrome의 게스트 프로필은 더 분리되어 있고, 내 북마크와 확장을 가져오지 않습니다. 내려받은 파일은 그래도 이 컴퓨터의 다운로드 폴더에 떨어집니다. 브라우저 신분을 바꾸는 것과 디스크를 바꾸는 것은 다릅니다. 마무리는 여전히 파일을 지우고 클립보드를 덮어쓰는 일입니다.