​ 

Password-1234 / Br0nc0$2012 / Password123$ / Password1234 / Summ3rSun2020! / 0rlando_0000 / Password1234! / ChangeIt123 / 1234password$ / ChangeItN0w! / admin / 12345 / 123456 / 123456789 / qwerqwer / default / password / root

​위에 적힌 내용이 무엇인지 금방 알아차리셨나요? 온라인에서 사람들이 가장 많이 사용하는 비밀번호라고 하는데요. 익숙한 문자열이 있다면 지금 바로 패스워드를 변경하시기 바랍니다!

우리는 일상에서 패스워드를 자주 사용합니다. 이메일, 소셜 미디어, 온라인 뱅킹, 쇼핑 사이트 등 다양한 서비스에 접속할 때마다 패스워드를 입력해야 하는 만큼 익숙하지만 여전히 불편한 존재입니다. 패스워드를 잃어버리면 그 복구 과정도 번거롭고, 새로운 패스워드를 다시 기억해야 하죠. 애초에 기억하기 쉬운 패스워드를 사용하면 잊어버릴 일이 없을텐데, 비밀번호 설정 규칙은 왜이렇게 복잡한 걸까요?

비밀번호 조합 규칙 qwer1234!@#$

우리에게 익숙한 복잡한 비밀번호 조합 규칙은 꽤 오래된 지침입니다. "세가지 종류 이상의 문자구성으로 8자리 이상의 길이로 구성된 문자열" 또는 "두가지 종류 이상의 문자구성으로 10자리 이상의 길이로 구성된 문자열"을 요구하는가 하면 이를 90일 또는 최소 몇 달 이내에 한 번씩 바꾸라고도 하죠.

한국인터넷진흥원(KISA)에서 2008년 발간한 '패스워드 선택 및 이용 안내서'에 담겨 공공 및 민간 온라인 서비스에서 광범위하게 사용된 위 규칙들은 과거 미국 NIST가 2007년 발간한 '전자인증 가이드라인(Electronic Authentication Guideline)'에 담겼던 규칙입니다. 그동안 인터넷 사이트에서 패스워드를  설정하려면 영문자와 숫자, 특수문자 등이 혼합된 복잡한 문자열을 만들어야 했는데요, 이 때문에 오히려 기억하기 어려워 패스워드 분실 등 불편이 따랐습니다. 

미국 국립표준기술연구소(NIST) '디지털 신원 지침' 

어쩌면 이러한 불편이 조금은 해소될 것 같습니다. 세계 각국이 참조하는 미국의 패스워드 지침에 '사용자에게 특수문자 등을 혼용하도록 강요하거나 주기적으로 비밀번호를 변경하도록 요구하지 말라'는 금지조항이 담길 전망이기 때문입니다. 미국 국립표준기술연구소(NIST)는 지난 9월 공개한 '디지털 신원 지침(가이드라인)' 개정안에 이 같은 조항을 삽입했습니다. ​

실제로 "유출된 비밀번호 데이터베이스를 분석한 결과 숫자·문자·기호를 혼합해 구성한 비밀번호를 선택하는 규칙의 이점이 당초 생각보다 크지 않고, 사용성과 기억력에 미치는 영향이 심각한 것으로 나타났다"며 "이 때문에 비밀번호 길이를 바탕으로 좀 더 간단한 접근방식을 제시했다"고 NIST가 밝혔습니다.

복잡한 비밀번호 규칙이나 정기적인 비밀번호 변경을 요구할 경우 사용자가 비밀번호 분실을 우려하해 예측하기 쉬운 비밀번호를 설정해 오히려 보안을 취약하게 만들기 때문인데요. 비밀번호를 '1q2w3e4r!'·'qwer1234!'로 설정하거나 비밀번호 변경주기마다 특수문자만 바꾸는 사례가 대표적입니다.

NIST '디지털 신원 지침' 비밀번호 요건 주요 내용

🔑​ 의무(SHALL) 항목​

- 비밀번호를 8자 이상으로 설정하도록 요구

- 모든 유니코드 문자를 '비밀번호 1자'로 취급

- 비밀번호가 탈취된 흔적이 있다면 사용자에게 변경을 요구

❌​ 금지의무(SHALL NOT) 항목

- 여러 문자유형을 혼합하도록 요구하는 등 사용자에게 추가적인 비밀번호 규칙을 부과하는 행위

- 정기적으로 비밀번호 변경을 요구하는 행위

✔️​ 권고(SHOULD) 항목

- 비밀번호 최소 길이를 15자 이상으로 요구하고 64자 이상의 비밀번호도 설정할 수 있도록 허용

- 알파벳·숫자 외 모든 유니코드 글자를 비밀번호로 입력할 수 있도록 허용

KISA는 2019년 '안전한 비밀번호'의 기준을 '두 종류 이상의 문자로 구성된 8자리 이상의 문자열' 혹은 '10자리 이상 문자열'로 완화하고 비밀번호 변경주기를 삭제한 상태입니다. 아직 국내 상당수 웹사이트에서 유지 중인 문자 종류 혼합과 비밀번호 변경주기 규칙은 사실상 의무규정이 아니라고 하는데요, 사용자 편의를 고려한 서비스 개선을 기대해봅니다.