강한 비밀번호 만들고 관리하는 법

거의 모두가 강한 비밀번호를 써야 한다는 걸 알지만, 가장 흔한 비밀번호는 여전히 123456과 password입니다. 문제의 일부는 나쁜 조언입니다: 수년간 우리는 짧은 기호 뒤범벅을 쓰고 매달 바꾸라고 들었는데, 알고 보니 기억하기도 어렵고 특별히 안전하지도 않습니다. 이 가이드는 무엇이 실제로 비밀번호를 강하게 만드는지, 그리고 정신을 잃지 않고 비밀번호를 관리하는 법을 설명합니다.

무엇이 비밀번호를 강하게 만드나

비밀번호는 추측하기 어렵고 무차별 대입하기 어려울 때 — 가능성이 너무 많아 전부 시도하는 게 비현실적일 때 — 강합니다. 두 가지가 그것을 좌우합니다: 길이와 예측 불가능성.

길이가 복잡함을 이긴다

글자 하나가 더 붙을 때마다 가능한 비밀번호의 수가 배로 늘어나므로, 길이가 단연 가장 강력한 요소입니다. 평범한 단어들로 된 긴 패스프레이즈가 짧은 암호 같은 문자열보다 훨씬 강하고 — 기억하기도 훨씬 쉽습니다:

더 약함:  P@ss1!        (8자, "복잡해" 보임)
더 강함:  correct-horse-battery-staple   (길다)

암호 같은 쪽이 더 약한 이유는, 공격자들이 흔한 요령을 다 알기 때문입니다 — a를 @로 바꾸기, 끝에 1! 붙이기 — 그리고 그들의 소프트웨어는 그런 패턴을 먼저 시도합니다. 순수한 길이가 예측 가능한 치환을 이깁니다.

예측 불가능성(엔트로피)

나머지 절반은 무작위성입니다. 진짜로 무작위한 문자 조합이나 무작위로 고른 단어로 만든 비밀번호는 엔트로피 — 얼마나 예측 불가능한지의 척도 — 가 높습니다. 개인 정보(이름, 생일, 반려동물, 좋아하는 팀)에 기반한 것은 지저분해 보여도 추측 가능하므로 엔트로피가 낮습니다.

공격자는 실제로 어떻게 비밀번호를 깨나

위협을 이해하면 조언이 이치에 맞게 됩니다:

• 크리덴셜 스터핑 — 한 사이트가 뚫리면, 공격자는 유출된 이메일/비밀번호 쌍을 다른 모든 사이트에서 시도합니다. 비밀번호를 재사용하는 것이 그토록 위험한 이유입니다.
• 사전 공격 — 흔한 비밀번호와 단어 목록을, 위의 예측 가능한 치환까지 포함해 시도합니다.
• 무차별 대입 — 모든 조합을 시도합니다. 길이가 이걸 공격자에게 가망 없게 만드는 요소입니다.

가장 중요한 세 가지 규칙

1. 길게 만들기 — 16자 이상이나 여러 단어의 패스프레이즈를 목표로.
2. 각각 고유하게 — 사이트마다 비밀번호를 절대 재사용하지 말아, 한 번의 유출이 나머지를 열지 못하게.
3. 무작위로 — 당신에 관한 어떤 것에도 기반하지 말 것.

이 셋을 모두 만족하는 것을 빠르게 만드는 방법은 우리 비밀번호 생성기입니다: 전부 브라우저에서 강한 무작위 비밀번호를 만들고(아무 데도 전송되지 않음), 길이와 문자 종류를 조정하게 해 줍니다. API 키 같은 기계 대 기계 비밀에는 랜덤 문자열 생성기가 같은 일을 합니다.

전부 어떻게 기억하나: 하지 마세요

위 규칙은 수십 개 계정에 걸쳐 기억으로 따르기가 불가능합니다 — 바로 그래서 사람들이 비밀번호를 재사용하죠. 답은 기억하려는 시도를 그만두는 것입니다:

• 비밀번호 관리자를 쓰세요. 사이트마다 고유하고 강한 비밀번호를 생성·저장·자동 입력하고, 당신은 강한 마스터 비밀번호 하나만 기억하면 됩니다.
• 2단계 인증(2FA)을 켜세요. 비밀번호가 유출돼도, 두 번째 요소(앱 코드나 하드웨어 키)가 공격자의 로그인을 막습니다. 제공하는 모든 곳, 특히 이메일과 은행에서 켜세요.
• 무엇보다 이메일을 보호하세요. 이메일 계정은 대부분의 다른 비밀번호를 재설정할 수 있으므로, 가장 긴 고유 비밀번호와 2FA를 받을 자격이 있습니다.

그만해도 되는 것

현대 보안 지침(NIST 포함)은 두 가지 옛 습관을 버렸습니다: 강제 주기적 변경(약하고 예측 가능한 변형으로 사람을 몰아감)과 길이 대신 쓰는 필수 기호/숫자 규칙. 이유가 있을 때 — 유출, 공유 기기 — 비밀번호를 바꾸세요, 달력에 맞춰서가 아니라. 길이·고유성·비밀번호 관리자에 에너지를 집중하면, 온라인 대다수 계정보다 앞서 있게 됩니다.