비밀번호를 정기적으로 변경하는 것이 좋지 않은 이유는 무엇입니까?

비밀번호 보안에 대한 가장 확실한 정보 중 하나는 비밀번호를 정기적으로 변경하면 보안이 강화된다는 것입니다. 적어도 전 세계 IT 팀은 수십 년 동안 사람들에게 이를 요구해 왔습니다.

하지만 그 조언은 항상 반대에 부딪혔습니다. 보안 업계의 많은 사람들은 이로 인해 기억하기 쉬운 비밀번호가 생겨난다고 주장합니다. 이제 연구 결과 이 ​​이론이 증명되었으며, 비밀번호를 자주 변경하면 보안 문제가 발생한다는 사실이 밝혀졌습니다.

비밀번호를 자주 변경하면 보안이 취약해집니다.

우리 중 많은 사람은 4주, 6주 또는 8주마다 의무적으로 비밀번호를 변경해야 한다는 것이 두렵다고 생각합니다. 한 IT 그룹은 비밀번호를 변경하면 모든 사람이 새로운 비밀번호를 사용하게 되어 보안 침해가 무의미해질 것이라는 아이디어를 홍보했습니다.

실제로 이는 비밀번호 생성에 취약점을 초래합니다. 대부분의 사람들은 강력하고 독특하며 추측하기 어려운 비밀번호를 만드는 대신, 짧고 반복되는 부분으로 구성된 기억하기 쉬운 비밀번호를 선택합니다.

예를 들어, 강력한 16자리 비밀번호는 "hS'9{yX?Fzu#=_:R"과 같으며, 여기에는 대문자와 소문자, 숫자, 기호가 혼합되어 있습니다. 기억하기 힘들지만, 시간이 지나면 익숙해질 거예요. 하지만 매달 비밀번호를 변경해야 한다면 이를 기억할 시간이 없을 것입니다. 그 결과, 사람들은 작고 반복되는 부분이 있는 기억에 남는 문구를 사용하기 시작했습니다.

• 1월: hardpassword1
• 2월: d1fficultpassword2
• 3월: d1ff1cultp4ssword3
• 브,브...

강력하고 고유한 비밀번호를 선택하세요(또는 비밀번호 관리자를 사용하세요)

영국의 국가 사이버 보안 센터는 2015년부터 일반 비밀번호 사용을 권장하지 않았으며, 이제 2024년에 국가 표준 연구소도 이를 따를 예정입니다.

새로운 조언에 따르면 비밀번호는 365일마다 만료되도록 권장되어 기간이 크게 바뀌고 보안이 강화되었습니다.

동시에 NIST는 비밀번호 길이와 강도에 대한 메시지도 업데이트하고 있습니다. 어떤 경우에는 비밀번호 생성 규칙이 사용자의 비밀번호를 12자로 제한하거나 특정 기호를 사용하지 못하도록 합니다. 현재 NIST는 모든 비밀번호가 다음과 같아야 한다고 권장합니다.

• 최소 15자
• 최대 64자
• 모든 ASCII 문자, 공백 문자 및 유니코드 문자 포함

이러한 변경 사항은 더 많은 비밀번호 입력 필드를 통해 더 강력하고 기억하기 쉬운 암호문구를 사용할 수 있음을 의미하며, 전반적인 비밀번호 강도도 향상됩니다.

물론, 비밀번호 보안에 관심이 있는 모든 조직에서는 비밀번호 관리자를 사용하도록 해야 합니다. 비밀번호 관리자를 사용하면 로컬 데이터 저장, 제로 지식 암호화 등 추가적인 보안 고려 사항이 있지만 모든 계정을 강력한 비밀번호로 보호하는 것이 가장 좋습니다.