강력한 비밀번호를 만드는 방법

대부분 사람들은 비밀번호의 “강도”가 비밀번호에 포함된 문자 유형의 다양성에 의해 결정된다고 이해합니다. 하지만 가입 양식은 복잡성이 보안이라고 생각할 수 있지만, 공격자들은 그렇지 않습니다. 현대의 위협 모델에 대해 복잡성은 더 이상 방어력을 제공하지 않습니다. 강력한 비밀번호는 무엇일까요? 대부분 사람들에게 실제로 직면한 위협 모델을 먼저 살펴볼 필요가 있습니다.

비밀번호 복잡성은 요점을 놓치는 것

비밀번호 “강도”는 종종 복잡성의 함수로, 즉 비밀번호에서 문자의 무작위성의 양으로, 기호, 숫자, 대문자 및 소문자를 사용함으로써 측정됩니다. 그러나 비밀번호에 몇 가지 다른 문자를 추가하는 것이 그 “강도”를 의미 있게 증가시키지 않으며, 이는 비밀번호 옆의 그 기만적인 초록색 “강도” 바가 제안하는 것과는 다릅니다. 복잡성은 무차별 대입 공격의 난이도를 증가시키지만, 그런 공격은 드뭅니다.

대신, 자격 증명 도난은 대규모 데이터 해킹이나 대기업에서의 유출에서 발생합니다. 공격자가 비밀번호를 일반 텍스트로 갖고 있다면 비밀번호 강도는 도움이 되지 않습니다.

고유한 비밀번호 사용하기

대부분 사람들은 “자격 증명 스터핑”이라는 것에 매우 취약합니다: 유출된 자격 증명이 일반 플랫폼에서 시도되어 비밀번호 재사용에 대한 인간의 경향을 이용합니다. 이는 “약한” 비밀번호보다 훨씬 더 큰 위험입니다. 결국, 하나의 “슈퍼 강력한”, 완전히 무작위 비밀번호가 모든 플랫폼에서 재사용되면 한 번의 유출 후 재앙이 될 것입니다.

비밀번호 강도를 단일 속성으로 생각하기보다는 인증 시스템의 강도에 대해 생각할 필요가 있습니다. 현대의 비밀번호가 그 시스템을 생성하며, 그렇게 고려되어야 합니다. 비밀번호 관리자를 사용하면 고유한 비밀번호를 사용하는 것이 훨씬 쉬워지므로, 아직 시작하지 않았다면 지금 바로 시작하세요.

또한 읽어보세요: 웹, 데스크톱, 모바일용 최고의 비밀번호 관리자 10가지

길이는 복잡성보다 중요하다

수년간 우리는 복잡성을 비밀번호의 가장 중요한 요소로 생각하도록 훈련받아 왔습니다. 그리고 무차별 대입 공격이 드물다는 것을 알면서도, 복잡성은 무차별 대입 공격을 방어하는 최고의 방어도 아닙니다: 길이가 실제로는 훨씬 더 중요합니다.

비밀번호 길이는 크래킹 시간과 기하급수적인 관계가 있으므로, 길이를 적당히 늘리면 크래킹 시간에 큰 증가를 가져올 수 있습니다. 반면에 복잡성은 크래킹 시간과 더 선형적인 관계를 갖습니다.

이 예를 들어봅시다: 고성능 크래킹 기계는 복잡해 보이는 비밀번호 *nRyU86)를 단 80분 만에 깨뜨릴 수 있습니다. 대문자 한 글자를 추가하는 것만으로도 그 시간을 거의 36시간으로 늘리게 됩니다. 그러나 문자 하나를 기호로 바꿔도 크래킹 시간에서 의미 있는 변화가 없습니다.

길이의 기하급수적인 힘을 최대한 활용합시다. 알려진 사전 단어를 사용하여 16자의 길이를 가진 네 단어 비밀번호는 어떨까요? 사전 공격(무작위로 생성된 추측 대신 알려진 단어의 데이터베이스를 사용하여 비밀번호를 추측하는 공격)을 고려하더라도, 비밀번호를 깨는 데에는 90억 년이 걸릴 것입니다.

복잡성은 잊어버리세요. 최고의 비밀번호는 사실상 패스- 구문입니다. 비슷한 강도를 가진 복잡한 비밀번호는 기억하기 불가능할 수 있습니다. 그러나 뇌는 재미있는 이야기와 놀라운 이미지를 좋아합니다. 무작위로 생성된 구문을 absurdly 기억하기 쉬운 이야기로 만든다면, 잊기 어려울 것입니다.

또한 읽어보세요: 문장이 더 나은 비밀번호를 만들까요?

진정으로 무작위 패스-구문 생성을 하는 것이 중요합니다. 자신의 생월과 같은 자신과 관련된 단어를 선택하면 패스구문이 더 쉽게 추측될 수 있습니다. EFF의 비밀번호 주사위를 사용하여 안전하고 보안적으로 무작위 패스-구문을 생성하세요.

모든 2단계 인증 시스템 켜기

모든 시스템은 유출됩니다. 비밀번호 강도가 당신을 구해주지 않습니다. 그렇다면 어떻게 방어할 수 있을까요? 2단계 인증(2FA) 시스템은 추가적인 보안 계층을 제공합니다. 2FA는 두 가지 유형의 자격 증명을 요구합니다: 당신이 아는 것 (즉, 당신의 비밀번호)과 당신이 갖고 있는 것 (즉, 당신의 전화기). 대부분의 2FA 시스템에서 이러한 코드는 원격 서버에 의해 생성됩니다. 서버는 로그인 시 활성 코드를 사용자에게 전송합니다.

불행히도 공격자는 SIM 카드 클로닝을 통해 SMS 코드를 비교적 쉽게 가로챌 수 있습니다. 이러한 도청을 방지하기 위해 Authy, Google Authenticator와 같은 2FA 앱이나 2FA 지원이 있는 비밀번호 관리자를 사용하여 모바일 장치에서 코드를 생성하세요.

결론

단일 비밀번호의 “강도”는 헛된 소문입니다. 강력한 인증 시스템이 더 중요합니다. 유출과 데이터 도난은 불가피하게 발생합니다. 고유한 비밀번호는 피해를 제한합니다. 두 단계 인증은 도난당한 자격 증명의 피해를 제로로 줄일 수 있습니다.