이 기사는 공개적으로 이용 가능한 사이버 보안 연구, 업계 보고서 및 널리 받아들여지는 보안 관행을 바탕으로 합니다. 개인적인 경험이 언급된 경우 명시적으로 진술되었습니다.

대부분의 사람들이 잊었지만 잊지 말아야 할 침해 사고

2012년에 LinkedIn은 당시 역사상 가장 큰 데이터 침해 사고 중 하나를 겪었습니다. 나중의 분석에 따르면 약 1억 6,700만 개의 계정 기록이 노출되었으며, 그중 약 1억 1,700만 개에는 이메일 주소와 비밀번호 해시가 포함되어 있었습니다.

보안 팀이 해독된 비밀번호를 조사했을 때, 그 결과는 고통스러울 정도로 익숙했습니다. password1, linkedin123 및 이와 유사한 성의 없는 선택들이 수백만 건 나타났습니다. 더 흥미롭고 걱정스러운 점은 L!nk3d1n2020과 같이 똑똑해 보이는 비밀번호조차 빠르게 무너졌다는 것입니다. 왜일까요? 그것들은 인간이 거의 항상 사용하는 패턴을 따랐기 때문입니다.

저는 사이버 보안 모의 해킹(Penetration Testing) 분야에서 15년 이상 일해 왔습니다. 제 직업은 실제 공격자들이 의존하는 것과 동일한 방법을 사용하여 합법적으로 시스템에 침입하는 것입니다. 비밀번호는 저에게 이론적인 주제가 아닙니다. 그것은 제가 매일 현장에서 실패하는 것을 목격하는 것입니다.

비밀번호가 실제로 공격받는 방법

왜 어떤 비밀번호는 살아남고 다른 비밀번호는 그렇지 않은지 이해하려면 공격자의 입장에서 봐야 합니다. 공격자는 앉아서 비밀번호를 하나씩 추측하지 않습니다. 그들은 모든 것을 자동화합니다.

사전 공격 (Dictionary Attacks): 이는 수년간의 데이터 침해에서 수집된 실제 비밀번호, 단어, 구문 및 변형의 방대한 컬렉션에 의존합니다. 이 사전에는 수십억 개의 항목이 포함되어 있으며 계속 증가하고 있습니다.
규칙 기반 공격 (Rule-Based Attacks): 이는 인간의 창의성에 치명적으로 효과적입니다. 도구는 일반적인 습관을 자동으로 적용합니다: "o"를 "0"으로 바꾸기, 끝에 "123" 또는 "!" 추가하기, 첫 글자 대문자화하기, 연도 삽입하기 등입니다. 대부분의 "똑똑한" 비밀번호는 바로 여기서 무너집니다.
무차별 대입 (Brute Force): 가능한 모든 조합을 시도하는 것입니다. 이는 무섭게 들리지만, 최신 해싱 알고리즘으로 저장된 길고 진정으로 무작위인 비밀번호에 대해서는 시간이 너무 오래 걸리기 때문에 빠르게 비현실적이 됩니다.

자체 생성 비밀번호의 문제점

우리는 스스로 발명한 비밀번호를 좋아하는데, 개인적이고 기억하기 쉽다고 느끼기 때문입니다. 불행히도 연구와 경험에 따르면 그것들은 또한 매우 예측 가능합니다.

패턴 반복: 카네기 멜론 대학의 연구를 포함한 대규모 연구는 일관되게 동일한 구조를 보여줍니다: 단어 또는 이름, 시작 부분의 대문자, 끝부분의 숫자 또는 기호. 내용은 바뀌지만 형태는 그대로 유지됩니다. 공격자가 그 구조를 모델링하면 해킹 속도가 급격히 빨라집니다.
길이의 한계: 대부분의 사용자 생성 비밀번호는 8~10자 사이입니다. 사람들이 더 긴 것이 더 안전하다는 것을 몰라서가 아니라, 기억력이 우리를 더 짧은 문자열로 밀어붙이기 때문입니다.
개인 정보 유출: 생일, 애완동물 이름, 기념일 등 사람들은 끊임없이 이것들을 사용합니다. 그리고 소셜 미디어 시대에 공격자는 종종 추측할 필요조차 없습니다.

왜 무작위 비밀번호는 다른 게임을 하는가

**안전한 무작위 비밀번호 생성기**로 만든 비밀번호(예: r8$NpL#2qW9)는 단지 "더 복잡한" 것이 아닙니다. 근본적으로 다릅니다.

각 문자는 독립적으로 선택됩니다. 단어도, 대체도, 인간의 논리도 없습니다. 그 단 하나의 사실이 공격자의 가장 강력한 도구인 사전과 규칙을 제거합니다.

숫자 관점에서 볼 때:

소문자만 사용하는 8자 비밀번호는 약 26⁸가지의 가능성(약 2,090억)이 있습니다.
대문자, 숫자, 기호를 추가하면 갑자기 약 95⁸(약 6,000조)가 됩니다.
이를 12자로 늘리면 공간은 천문학적으로 커집니다.

하지만 진짜 이점은 단순한 크기가 아닙니다. 무작위 비밀번호는 공격자가 무차별 대입을 사용하도록 강요하는데, 이는 느리고 비용이 많이 들며 종종 노력할 가치가 없다는 것입니다.

실제로 이러한 비밀번호를 깨는 모습

모의 해킹 테스터의 관점에서 보면 그 차이는 극명합니다.

비밀번호가 bcrypt나 Argon2와 같은 것으로 적절하게 해싱된 경우, 무작위 문자열에 대한 무차별 대입은 공격을 불가능하게 만드는 기간을 의미합니다. 대부분의 실제 사례에서 공격자는 단순히 다른 목표로 이동합니다.

진정한 트레이드오프: 인간 vs 무작위성

무작위 비밀번호의 가장 큰 약점은 보안이 아니라 사용성입니다. 인간은 의미 없는 문자열을 기억하는 데 끔찍합니다. 그것이 비밀번호 보안의 핵심적인 긴장 관계입니다.

인간이 잘 기억하는 비밀번호는 약한 경향이 있습니다.
강력한 비밀번호는 기억하기 어려운 경향이 있습니다.

현대 보안 관행은 그 격차를 메우기 위해 존재합니다.

오늘날 실제로 효과가 있는 것

업계의 합의와 실제 경험을 바탕으로:

비밀번호 관리자 사용: Bitwarden 또는 1Password와 같은 도구를 사용하면 하나의 강력한 마스터 비밀번호에 의존하고 나머지는 모두 길고 무작위이며 고유하게 유지할 수 있습니다. 이는 대부분의 사람들에게 최고의 옵션으로 널리 간주됩니다.
기억해야 한다면 길이를 사용하세요: 관련 없는 단어들의 나열(예: coffee-zebra-battery-stapler)은 짧고 기호가 많은 비밀번호보다 공격에 더 강하고 기억하기도 종종 더 쉽습니다.
절대로 비밀번호를 재사용하지 마세요: 한 사이트가 침해당하면 재사용은 도미노 효과를 일으킵니다.
MFA 활성화: 이메일, 은행, 클라우드 계정 등 항상 다중 요소 인증을 사용하십시오.
침해 노출 확인: **Have I Been Pwned**와 같은 서비스를 통해 귀하의 이메일이 알려진 침해 데이터 세트에 포함되어 있는지 확인할 수 있습니다.

맺음말

이것은 인간이나 기계 중 누가 "더 나은" 비밀번호를 만드는지에 대한 철학적 논쟁이 아닙니다. 이것은 위험 관리에 관한 것입니다.

컴퓨터는 무작위성을 생성하는 데 능숙합니다. 인간은 하나의 비밀을 보호하고 MFA와 같은 프롬프트에 응답하는 데 능숙합니다. 가장 안전한 접근 방식은 각자가 가장 잘하는 것을 하도록 하는 것입니다.

보안을 업그레이드할 준비가 되셨나요? 지금 강력한 오프라인 비밀번호를 생성하여 계정을 즉시 보호하세요.

공격자가 사람이 만든 비밀번호를 좋아하는 이유