비밀번호 작성 규칙과 강도 검사기

공식 지침은 이렇게 바뀌었다

「대문자·소문자·숫자·특수문자를 모두 섞고 3개월마다 변경」은 오랫동안 상식이었지만, 지금 국제 표준은 그 반대를 말함. 미국 NIST의 SP 800-63B(디지털 신원 지침)는 조합 규칙 강제와 주기적 변경을 금지(SHALL NOT) 항목으로 명시함. 사람이 규칙을 맞추려다 Password1! 같은 뻔한 형태로 수렴하기 때문임.

국내도 같은 흐름임. 개정된 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)은 인증수단을 비밀번호로 한정하지 않고, 처리자가 환경에 맞게 자율적으로 정해 안전하게 관리하도록 함 — 예전 고시처럼 문자 조합과 변경 주기를 일률적으로 강제하지 않음.

지금 기준으로 지켜야 할 것

회사·기관이 자체 규정으로 조합이나 변경 주기를 요구한다면 그 규정이 우선임. 위 기준은 「무엇이 실제로 안전한가」에 대한 것이고, 사내 규정 준수와는 별개의 문제임.

국내 기준 — 회사 시스템·개인정보취급자 계정은 다르다

위 표는 개인 계정에 대한 국제 표준임. 반면 회사에서 개인정보를 다루는 시스템(개인정보처리시스템)에는 국내 법령 축이 따로 있음 — 개인정보 보호법 제29조와 시행령 제30조에 따라 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)이 적용되고, 고시 제5조는 비밀번호 작성규칙을 수립·적용할 의무를 둠. 구체 수치는 고시가 아니라 개인정보보호위원회 안내서·자가진단 기준에 예시로 제시됨.

정리하면 — 내 개인 계정은 「길게, 서비스마다 다르게」(위 국제 기준),회사 개인정보 시스템 계정은 회사가 수립한 작성규칙(대개 위 국내 기준)을 따르면 됨. 두 기준이 달라 보여도 충돌하지 않음 — 적용 대상이 다른 것임.

왜 길이가 조합보다 강한가

후보 문자가 n가지이고 길이가 L이면 경우의 수는 n^L임. 종류를 늘리는 것은 밑을 키우고, 길이를 늘리는 것은 지수를 키움.소문자만 쓰더라도 한 글자 늘리면 26배가 되는데, 8자짜리에 특수문자를 한 종류 더 섞는 것은 약 1.5배 수준임. 게다가 사람이 섞는 위치는 대부분 정해져 있어(첫 글자 대문자, 끝에 숫자와 느낌표) 실제 증가폭은 그보다 작음.

피해야 하는 형태

• 이름·생일·전화번호 — 공격자가 가장 먼저 아는 정보임.
• 자판 배열 — qwer1234, 1q2w3e4r, asdf.
• 한글을 영문 자판으로 친 것 — tkfkd(사랑),dkssud(안녕) 같은 형태는 영어처럼 보이지만 공격 사전에 이미 들어 있음.
• 단어 + 숫자 + 느낌표 — Sunshine2024! 형태는 공격 규칙에 반영돼 있음.
• 다른 곳에서 쓰던 것 — 한 곳이 털리면 나머지가 연쇄로 뚫림(크리덴셜 스터핑).

외우면서 길게 만드는 방법

단어 네댓 개를 이어 붙인 패스프레이즈가 현실적인 해법임. 서로 관계없는 단어를 고르고 사이에 기호를 넣으면 20자를 넘기면서도 외울 수 있음. 다만 속담·가사·영화 대사처럼 이미 존재하는 문장은 통째로 사전에 있으므로 피할 것.

가장 좋은 방법은 비밀번호 관리자가 무작위로 만들게 하고 외우지 않는 것임. 사람이 외워야 할 비밀번호는 관리자 잠금용 하나면 충분하고, NIST도 관리자와 자동입력을 허용하도록 규정하고 있음.

비밀번호보다 중요한 것 — 2단계 인증

비밀번호가 유출돼도 두 번째 수단이 있으면 대부분 막힘. 문자(SMS)보다 인증 앱(OTP)이, 인증 앱보다 패스키·보안 키가 안전함. 특히 메일 계정은 다른 서비스의 비밀번호 재설정 통로라서 여기부터 2단계 인증을 켜는 것이 순서임.

근거: NIST SP 800-63B(Digital Identity Guidelines, Rev.4 — 길이·조합 규칙·변경 주기·유출 목록·관리자 허용 조항) · 개인정보 보호법 제29조, 동법 시행령 제30조, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 제5조와 2024년 10월 안내서 · 개인정보보호 포털(privacy.go.kr) 자가진단 기준 · KISA 「패스워드 선택 및 이용 안내서」. 검사기의 등급과 소요 시간은 추정치이며 특정 서비스의 안전을 보증하지 않음.

자주 묻는 질문

입력한 비밀번호가 어디로 전송되나요?

전송되지 않습니다. 판정은 브라우저 안에서만 이루어지고 서버로 보내지도, 저장하지도 않습니다. 유출 여부를 외부 데이터베이스에 물어보는 방식(해시 앞자리 전송)도 쓰지 않으며, 대신 널리 알려진 비밀번호 목록을 페이지 안에 내장해 대조합니다. 그래도 실제로 쓰는 비밀번호 대신 형태만 같은 값으로 시험해 보기를 권합니다.

특수문자를 꼭 섞어야 하나요?

국제 표준은 강제하지 않는 쪽으로 바뀌었습니다. NIST SP 800-63B는 "문자 종류를 섞으라는 조합 규칙을 부과해서는 안 된다(SHALL NOT)"고 명시합니다. 사람이 규칙을 맞추려다 Password1! 같은 뻔한 형태를 만들기 때문입니다. 특수문자보다 길이가 훨씬 효과적입니다.

3개월마다 바꾸라는 규칙은요?

NIST는 주기적 변경을 요구해서는 안 된다(SHALL NOT)고 규정합니다. 유출 정황이 있거나 본인이 원할 때만 바꾸면 됩니다. 억지로 바꾸게 하면 사람은 끝의 숫자만 하나 올리기 때문에 오히려 예측이 쉬워집니다. 다만 회사 내부 규정이 변경 주기를 요구한다면 그 규정을 따라야 합니다.

비밀번호 관리자를 쓰는 게 안전한가요?

표준이 권장하는 방향입니다. NIST SP 800-63B는 검증자가 비밀번호 관리자와 자동입력 사용을 허용해야 한다(SHALL)고 규정합니다. 서비스마다 다른 무작위 비밀번호를 쓰는 것이 가장 효과적인 방어인데, 그걸 사람이 외우는 것은 불가능하기 때문입니다.

가장 중요한 한 가지만 꼽으면?

서비스마다 다른 비밀번호를 쓰는 것입니다. 한 곳이 털렸을 때 같은 비밀번호를 쓰는 다른 계정이 연쇄로 뚫리는 크리덴셜 스터핑이 실제 피해의 대부분입니다. 아무리 강한 비밀번호라도 재사용하면 그 강도가 의미를 잃습니다.