비밀번호 편집하기 (부분)

== 비밀번호의 강도 ==
비밀번호의 강도는 공격자가 해당 비밀번호를 맞히기 얼마나 어려운지에 따라 결정된다. 흔히 특수문자, 대문자, 숫자가 많으면 강한 비밀번호라고 생각하지만, 현대적인 기준에서는 '''길이''', '''무작위성''', '''고유성''', '''유출 여부'''가 더 중요하다.

=== 길이 ===
비밀번호는 길수록 일반적으로 강해진다. 가능한 경우 최소 12자 이상, 비밀번호만으로 로그인하는 중요한 계정은 15자 이상을 권장하는 기준이 널리 쓰인다. NIST SP 800-63B 최신판은 단일 인증 요소로 쓰이는 비밀번호에 대해 최소 15자를 요구하고, 다중 인증과 함께 쓰이는 비밀번호는 최소 8자를 요구한다.<ref name="nist-800-63b">[https://pages.nist.gov/800-63-4/sp800-63b.html NIST SP 800-63B, Digital Identity Guidelines: Authentication and Authenticator Management]</ref>

중요한 점은 "짧고 복잡한 비밀번호"보다 "길고 예측하기 어려운 비밀번호"가 더 낫다는 것이다. 예를 들어 다음과 같은 비밀번호는 겉보기에는 복잡해 보여도 실제로는 약하다.

* P@ssw0rd!
* Qwer1234!
* Summer2026!
* CompanyName2026!
* 이름+생일+특수문자 조합

이런 비밀번호는 공격자가 자주 시도하는 패턴에 가깝다. 대문자 하나, 숫자 몇 개, 느낌표 하나를 붙이는 방식은 이미 너무 흔하다. 공격자는 이런 습관을 알고 있다.

=== 무작위성 ===
무작위성은 비밀번호가 예측 가능한 규칙을 따르지 않는 정도를 말한다. 사람이 직접 만든 비밀번호는 대개 자신도 모르게 패턴을 따른다. 좋아하는 단어, 생일, 닉네임, 키보드 배열, 서비스 이름, 현재 연도, 느낌표 같은 요소가 들어간다.

반면 비밀번호 관리자가 생성한 무작위 비밀번호는 사람이 떠올리기 어려운 조합으로 만들어진다. 예를 들어 다음과 같은 형태다.

* 24자 이상의 무작위 문자열
* 대문자, 소문자, 숫자, 기호가 섞인 난수 기반 문자열
* 서비스마다 완전히 다른 값

무작위 비밀번호는 외우기 어렵지만, 비밀번호 관리자를 사용하면 외울 필요가 없다. 이것이 현대적인 비밀번호 관리의 핵심이다.

=== 고유성 ===
비밀번호 보안에서 가장 치명적인 습관 중 하나는 '''재사용'''이다. 아무리 강한 비밀번호라도 여러 사이트에서 같은 값을 쓰면 위험하다. 한 사이트가 털리면 공격자는 그 아이디와 비밀번호 조합을 다른 사이트에도 넣어 본다. 이것을 '''크리덴셜 스터핑'''이라고 한다.

예를 들어 A 쇼핑몰에서 사용한 이메일과 비밀번호가 유출되었다고 하자. 공격자는 같은 조합으로 이메일, SNS, 게임, 클라우드, 은행, 커뮤니티 로그인을 시도한다. 사용자가 같은 비밀번호를 재사용했다면 피해는 연쇄적으로 확대된다.

따라서 중요한 원칙은 간단하다.

* 계정마다 다른 비밀번호를 쓴다.
* 특히 이메일 계정, 금융 계정, 클라우드 계정, 개발자 계정은 절대 재사용하지 않는다.
* 기억하기 어렵다면 비밀번호 관리자를 쓴다.

=== 유출 여부 ===
아무리 길고 복잡한 비밀번호라도 이미 유출된 적이 있다면 사용하면 안 된다. 공격자는 과거 유출 데이터베이스를 바탕으로 로그인 시도를 자동화한다. NIST는 서비스가 새 비밀번호를 설정할 때 흔한 비밀번호, 예상 가능한 비밀번호, 이미 유출된 비밀번호 목록과 비교해 차단할 것을 요구한다.<ref name="nist-800-63b" />

즉, "내 비밀번호는 복잡하니까 괜찮다"가 아니라 "이미 유출된 적이 없는가"도 중요하다. 특히 유명한 약한 비밀번호에 숫자나 특수문자만 조금 붙인 형태는 피해야 한다.