복잡한 비밀번호는 시대에 뒤떨어진 것인가요?

여러 문자를 조합하여 사용하고 자주 변경하는 복잡한 비밀번호는 더 이상 최선의 비밀번호 관리 방법이 아닙니다. 이 정보는 조직의 정보 시스템 보호에 도움이 되는 지침을 개발하고 발행하는 미국 국립표준기술원(NIST)에서 새로 발표한 지침을 기반으로 합니다.

수년 동안 대문자와 소문자, 숫자, 기호를 결합한 복잡한 비밀번호는 전문가와 서비스 제공업체에게 선호되어 왔습니다. 그 이유는 이러한 비밀번호를 사용하면 무차별 대입 공격을 통해 비밀번호를 추측하거나 해독하기가 더 어렵다고 여겨지기 때문입니다.

하지만 복잡한 비밀번호는 오히려 보안을 약화시킬 수 있습니다. 복잡한 비밀번호로 인해 사용자는 간단한 비밀번호를 선택하거나 기존 비밀번호를 재사용하는 등 나쁜 습관을 갖게 됩니다.

NIST는 최신 가이드라인에서 복잡한 비밀번호 대신 긴 비밀번호를 사용할 것을 권장했습니다.

첫 번째 이유는 사용자가 복잡한 비밀번호를 기억하는 데 어려움을 겪는 경우가 많기 때문입니다. 이로 인해 쉽게 추측할 수 있는 규칙에 따른 비밀번호를 사용하거나 여러 웹사이트에 동일한 비밀번호를 사용하게 됩니다. 많은 조직에서 60~90일마다 비밀번호를 변경하도록 요구하기 때문에 이러한 문제는 더욱 심각해집니다. NIST는 더 이상 이를 권장하지 않습니다.

비밀번호 강도는 엔트로피로 측정하는 경우가 많습니다. 엔트로피는 비밀번호에 사용된 문자를 사용하여 만들 수 있는 가능한 조합의 수를 말합니다. 조합의 수가 많을수록 무차별 대입 공격이나 추측을 통해 비밀번호를 해독하는 것이 더 어렵습니다.

길이는 복잡성보다 가능한 조합의 수에 훨씬 더 큰 역할을 합니다. 더 많은 문자가 들어간 긴 비밀번호는 가능한 조합도 기하급수적으로 늘어납니다.

두 번째 이유는 간단한 단어가 많은 긴 비밀번호는 기억하기 쉽기 때문에 사용자가 비밀번호를 적어두거나 다시 사용하는 등의 안전하지 못한 관행에 의존하지 않도록 하기 때문입니다.

또한, 가능한 조합의 수가 많은 긴 비밀번호는 짧고 복잡한 비밀번호보다 복잡한 알고리즘으로 해독하기가 더 어렵습니다.

예를 들어, 비밀번호를 4자리에서 6자리로 바꾸면 가능한 조합의 수가 10,000개에서 1,000,000개로 늘어납니다.

NIST는 사용자에게 최대 64자 길이의 비밀번호를 생성할 것을 권장합니다. 이 경우 소문자와 단어만 사용한 비밀번호는 해독하기가 극히 어렵고, 대문자와 기호가 포함된 경우 비밀번호를 해독하는 것은 수학적으로 불가능에 가깝습니다.