비밀번호 안전하게 관리하는 법

비밀번호는 어떻게 털리는가

대응을 정하려면 공격 방식을 먼저 알아야 합니다. 현실에서 계정이 털리는 가장 흔한 경로는 내 비밀번호가 추측당해서가 아니라, 내가 가입한 어떤 서비스가 유출되어 그 비밀번호가 다른 사이트에서 그대로 시도되는 것입니다. 이것을 크리덴셜 스터핑이라고 합니다. 즉 아무리 복잡한 비밀번호를 만들어도 여러 곳에 같은 것을 쓰면 한 곳만 뚫려도 전부 뚫립니다.

복잡함보다 길이

특수문자를 섞으라는 규칙은 오래된 관행인데, 실제로는 길이가 훨씬 강력한 방어입니다. 짧고 복잡한 것보다 길고 기억하기 쉬운 것이 대체로 더 안전합니다. 다만 주의할 점이 있습니다. 서로 관련 없는 단어를 여러 개 이어 붙이는 것은 좋지만, 잘 알려진 문구나 가사를 그대로 쓰는 것은 공격 사전에 이미 들어 있어 위험합니다.

• 길이를 우선한다 — 짧고 복잡한 것보다 길고 단순한 것
• 서로 무관한 단어 여러 개를 조합한다
• 유명한 문구·가사·명언 그대로 쓰지 않는다
• 이름·생일·전화번호는 어떤 형태로도 피한다

재사용을 끊는 현실적인 방법

사이트마다 다른 비밀번호를 쓰라는 조언은 맞지만, 사람이 수십 개를 외우는 것은 불가능합니다. 그래서 비밀번호 관리자를 쓰는 것이 현실적인 해법입니다. 하나의 강한 마스터 비밀번호만 기억하고 나머지는 프로그램이 생성·보관합니다. 관리자를 쓰지 않겠다면 최소한 중요한 계정만이라도 완전히 다른 비밀번호를 쓰는 편이 좋습니다. 이메일 계정이 특히 중요한데, 다른 서비스의 비밀번호 재설정이 모두 이메일로 가기 때문입니다.

2단계 인증이 판을 바꾼다

비밀번호가 유출되더라도 두 번째 인증 수단이 있으면 로그인되지 않습니다. 그래서 2단계 인증은 비밀번호를 복잡하게 만드는 것보다 훨씬 큰 효과를 냅니다. 방식에 따라 안전도가 다른데, 문자 메시지는 번호 탈취 위험이 있어 인증 앱이나 하드웨어 키보다 약합니다. 그래도 문자라도 켜두는 것이 안 켜두는 것보다 훨씬 낫습니다.

• 하드웨어 보안키: 가장 강함
• 인증 앱(OTP): 강하고 무료, 권장
• 문자 메시지: 약하지만 없는 것보다 낫다
• 이메일 계정부터 우선 적용

정기 변경에 대해

예전에는 비밀번호를 주기적으로 바꾸라는 권고가 일반적이었습니다. 그런데 강제로 자주 바꾸게 하면 사람들이 기억하기 쉬운 규칙(끝에 숫자만 올리기)을 만들어 오히려 예측 가능해진다는 점이 확인되면서, 최근 보안 지침들은 주기적 강제 변경을 권하지 않는 방향으로 바뀌었습니다. 대신 유출 사고가 알려졌을 때 즉시 바꾸는 것이 중요합니다.

여기 도구들에 대해

이 사이트의 비밀번호 생성기와 강도 측정기는 모두 브라우저 안에서만 동작합니다. 입력하거나 생성한 값이 서버로 전송되지 않으므로 기록이 남지 않습니다. 다만 일반적인 원칙으로, 실제로 쓸 비밀번호를 아무 웹사이트에나 입력해 보는 습관은 피하는 것이 좋습니다.