비밀번호 강도와 정책

MFA와 비밀번호 없는 인증이 확산되고 있지만, 비밀번호는 여전히 가장 일반적인 인증 요소입니다. 취약한 비밀번호는 침해 사고에서 최초 접근이 이루어지는 가장 흔한 지점입니다.

강력한 비밀번호는 다음과 같은 특성을 갖습니다.

• 길이 — 16자 이상이면 엔트로피가 크게 증가함
• 복잡성 — 대문자, 소문자, 숫자, 기호를 조합함
• 예측 불가능성 — 사전 단어, 키보드 패턴, 개인 정보를 사용하지 않음
• 고유성 — 계정마다 다른 비밀번호를 사용함

엔트로피는 예측 불가능성을 비트 단위로 측정합니다. 인쇄 가능한 ASCII 문자 94개를 사용하는 비밀번호는 문자 하나마다 약 6.5비트를 추가합니다. 16자 비밀번호의 엔트로피는 약 104비트이므로 무차별 대입으로는 사실상 해독할 수 없습니다.

복잡성보다 길이가 중요합니다: "correcthorsebatterystaple" > "P@ss1".

공격자는 사용자가 다음과 같은 선택을 한다는 것을 알고 있습니다.

• 간단한 치환을 적용한 사전 단어(p@ssw0rd)
• 개인 정보(생년월일, 반려동물 이름)
• 키보드 패턴(qwerty, 123456)
• 회사 이름 + 연도
• 어디서나 같은 비밀번호 사용

효과적인 비밀번호 정책(NIST SP 800-63B 기준):

• 최소 8자 이상(12자 이상 권장)
• 알려진 침해 비밀번호 목록과 대조
• 의무적인 잦은 변경을 요구하지 않음(취약한 비밀번호 사용을 부추김)
• 사용자가 허점을 이용할 수 있는 임의의 복잡성 규칙을 요구하지 않음
• 비밀번호 관리자를 사용할 수 있도록 붙여넣기 허용

비밀번호 관리자는 하나의 마스터 비밀번호로 보호되는 모든 계정에 대해 고유하고 강력한 비밀번호를 생성하고 저장합니다. 이를 통해 자격 증명 대입 공격의 근본 원인인 비밀번호 재사용을 없앨 수 있습니다.

널리 사용되는 선택지: Bitwarden(오픈 소스), 1Password, KeePass, Dashlane.

암호 문구는 무작위 단어 네 개 이상을 사용하여 기억하기 쉬우면서도 높은 엔트로피를 제공합니다. "TrafficLampFrogBridge"는 "T!@#k7"보다 안전하며 기억하고 입력하기도 훨씬 쉽습니다.

기업 환경에서는 다음을 적용합니다.

• 그룹 정책 / IdP를 통해 최소 길이 적용
• 널리 사용되는 비밀번호 차단(상위 100,000개 목록)
• 모든 계정에 MFA 활성화
• 로그에서 비밀번호 스프레이 및 무차별 대입 패턴 모니터링
• 로컬 관리자 비밀번호 변경에 LAPS 사용

HaveIBeenPwned (HIBP)는 Troy Hunt가 운영하며 수십억 개의 도난된 자격 증명을 포함하고 있습니다. 조직은 HIBP API를 사용하여 알려진 침해 사고에서 발견된 비밀번호를 차단할 수 있습니다.

사용자는 haveibeenpwned.com에서 자신의 이메일을 확인할 수 있습니다.

생체 인식(지문, 얼굴)은 편리하지만 한계가 있습니다. 유출되었을 때 변경할 수 없기 때문입니다. 생체 인식은 비밀번호를 대체하기보다는 강력한 비밀번호와 함께 두 번째 인증 요소로 사용하는 것이 가장 좋습니다.

패스키(FIDO2/WebAuthn)는 암호화 키 쌍으로 비밀번호를 대체합니다. 개인 키는 장치를 절대 떠나지 않습니다. 훔칠 비밀번호가 없으므로 설계 단계부터 피싱에 강합니다. Apple, Google, Microsoft가 채택했습니다.

강력한 비밀번호는 복잡한 문자 규칙보다 길이와 고유성에 더 크게 의존합니다. 비밀번호 관리자는 재사용 문제를 해결합니다. NIST 지침은 비밀번호를 자주 변경하도록 강제하는 대신 침해 데이터베이스와 대조할 것을 권장합니다. 패스키(FIDO2)는 피싱에 강한 인증의 미래입니다.