비밀번호와 패스키

2025년 7월부터 미국 표준 NIST SP 800-63B-4는 단독으로 쓰는 비밀번호를 15자 이상으로 하고, 서비스가 정해진 주기마다 비밀번호를 바꾸라고 강요하지 말라고 정하고 있습니다.

「Summer2024!」는 조건을 다 채우는데 왜 약할까

대문자, 숫자, 특수문자를 하나씩 넣고 90일마다 바꾸면 안전하다고 믿는 사람이 아직 많습니다. 가입 화면이 오랫동안 그렇게 가르쳤으니 그럴 만도 합니다. 그런데 그 규칙이 실제로 만들어 낸 비밀번호를 보면 생각이 달라집니다. 「Summer2024!」는 조건을 모두 채웁니다. 90일이 지나면 「Autumn2024!」로 바뀌고, 앞의 것을 본 사람이라면 다음 것도 어렵지 않게 맞힙니다. 외우기는 어려워졌는데 맞히기는 그다지 어려워지지 않았습니다.

2025년 미국 표준이 바꾼 규칙

2025년 7월에 확정된 미국 지침 NIST 특별 간행물 800-63B-4는 이 습관을 거꾸로 뒤집었습니다. 비밀번호 하나만으로 로그인한다면 15자 이상이어야 합니다. 여러 인증 요소 가운데 하나로만 쓸 때는 8자 이상이면 됩니다. 서비스는 64자 이상까지 받아 주고, 띄어쓰기와 출력 가능한 모든 문자를 허용해야 하며, 「특수문자 하나」 같은 조합 규칙을 따로 강요하면 안 됩니다. 정해진 주기마다 바꾸라고 해서도 안 됩니다. 비밀번호가 새어 나갔다는 증거가 있을 때만 바꾸게 합니다. 새 비밀번호를 흔하거나 예상하기 쉽거나 이미 유출된 비밀번호를 모은 차단 목록과 대조하라는 요구도 들어 있습니다. 유출 사고에 한 번 나온 비밀번호는 아무리 길어도 이제 비밀이 아니기 때문입니다.

맞히려면 몇 번을 넣어 봐야 할까

길이가 이기는 까닭은 곱셈에 있습니다. 글자가 하나 늘 때마다 가능한 비밀번호 수가 몇 배로 불어납니다. 영어 소문자 8자는 26의 8제곱, 약 2,088억 가지입니다. 훔친 비밀번호 파일을 놓고 하나씩 대입해 보는 컴퓨터라면 이 정도는 금방 훑습니다. 단어 7,776개가 든 목록에서 무작위로 네 단어를 고르면 약 3.66 × 10¹⁵가지로 늘어납니다. 수가 얼마나 빨리 커지는지는 아래 표에 정리했고, 그중 두 개는 뒤쪽 코드 실습에서 직접 계산해 볼 수 있습니다.

유출 한 번이 다른 계정으로 번지는 까닭

미국 사이버보안 기관 CISA는 강한 비밀번호를 세 마디로 줄입니다. 길게(16자 이상), 무작위로, 계정마다 다르게. 무작위는 여러 문자를 섞은 문자열이어도 되고, 서로 관계없는 단어 4~7개를 이은 패스프레이즈여도 됩니다. 셋 가운데 가장 중요한 것은 「다르게」입니다. 학교 계정에 쓰던 비밀번호를 게임 사이트에도 그대로 썼다고 해 봅시다(지어낸 예입니다). 게임 사이트에서 유출이 일어나면 범죄자는 거기서 나온 이메일과 비밀번호를 학교 계정, 이메일, 쇼핑몰에 차례로 넣어 봅니다. 유출은 한 번이었는데 피해는 여러 곳에서 생깁니다. 길고 무작위인 비밀번호 수십 개를 머리로 다 외울 수는 없습니다. 그래서 CISA와 NIST는 비밀번호를 만들고 저장하고 대신 채워 주는 비밀번호 관리 프로그램을 지지합니다. 이런 프로그램을 쓰면 외울 비밀번호가 하나로 줄어듭니다. NIST는 서비스가 비밀번호 관리 프로그램과 자동 채우기를 반드시 허용하고, 붙여넣기도 허용하는 편이 좋다고 정합니다.

패스키에는 입력할 비밀도, 훔칠 비밀도 없습니다

패스키는 양쪽이 같은 비밀을 나눠 갖는 대신 공개 키 암호를 씁니다. MDN은 패스키를 한 웹사이트의 내 계정에 묶인 키 한 쌍이라고 설명합니다. 개인 키는 내 기기 안이나 기기에 연결한 인증 장치에 머물고, 기기의 PIN이나 지문, 얼굴로 엽니다. 공개 키는 웹사이트 서버에 둡니다. 로그인할 때 사이트가 확인용 문제(challenge)를 보내면 내 기기가 거기에 서명해서 돌려줍니다. 손으로 입력하는 비밀이 없습니다. 서버에 쌓아 두는 비밀도 없으니, 서버가 털려도 다시 써먹을 만한 것이 새어 나가지 않습니다. 게다가 패스키는 하나하나 그 사이트의 도메인에 묶여 있어서, 진짜처럼 꾸민 피싱 페이지에서는 쓰이지 않습니다. NIST는 이런 암호 방식 로그인을 피싱 방지 인증으로 보고 비밀번호는 그렇지 않다고 분류하며, 여러 기기 사이에 동기화되는 패스키도 허용합니다.

그럼 무엇부터 할까요? 이메일 계정에 긴 패스프레이즈부터 정하세요. 이메일 계정만 있으면 다른 계정을 재설정할 수 있기 때문입니다. 비밀번호 관리 프로그램을 쓴다면 이 패스프레이즈가 머리로 외우는 단 하나의 비밀번호가 됩니다. 다음에는 여러 곳에 돌려쓴 비밀번호를 하나씩 바꿉니다. 은행과 쇼핑 계정이 먼저입니다. 사이트가 패스키를 만들겠느냐고 물으면 대개 받아들이는 쪽이 가장 빠른 개선입니다. 원래 비밀번호는 만일을 대비한 예비 수단으로 남겨 두어도 됩니다. 오늘 할 일을 하나만 고른다면 이메일 비밀번호 점검입니다. 다른 계정은 그다음 차례입니다. 가입 화면이 띄어쓰기가 들어간 긴 문장도 받아 주는지 직접 넣어 보면 그 서비스가 새 규칙을 따르는지도 알 수 있습니다.