안전한 비밀번호 만드는 법: 길이, 무작위성, 관리 방법

비밀번호 강도를 결정하는 길이와 무작위성, 조합 규칙보다 중요한 것, 비밀번호 재사용의 위험, 비밀번호 관리자와 2단계 인증 사용법을 예시와 함께 정리합니다.

"영문 대소문자, 숫자, 특수문자를 포함해 8자 이상"이라는 규칙을 지켰는데도 계정이 털리는 경우가 있습니다. Password1!처럼 규칙은 만족하지만 누구나 떠올릴 수 있는 패턴이거나, 다른 사이트에서 유출된 비밀번호를 그대로 썼기 때문입니다.

강도를 결정하는 두 가지

공격자는 사람이 자주 쓰는 단어, 생일, 키보드 배열(qwer, 1q2w3e), 유출된 비밀번호 목록부터 대입합니다. 따라서 비밀번호의 강도는 공격자가 맞히기 위해 시도해야 하는 경우의 수로 판단하며, 이는 길이와 무작위성에 달려 있습니다. 경우의 수는 보통 비트(bit)로 표현합니다.

위 계산은 무작위로 생성했을 때만 성립합니다. 사람이 직접 고른 단어나 문자는 예측하기 쉬워 실제 강도가 훨씬 낮습니다.

조합 규칙보다 중요한 것

• 길이: 같은 무작위 방식이라면 한 글자가 늘 때마다 경우의 수가 수십 배 늘어납니다. 가능하면 14자 이상을 권장합니다.
• 유출 목록에 없을 것: 과거 유출 사고에 등장한 비밀번호는 아무리 복잡해 보여도 가장 먼저 시도됩니다.
• 주기적 강제 변경보다 유출 시 즉시 변경: 최근 보안 지침은 의미 없는 주기적 변경보다 유출이 의심될 때 바로 바꾸는 것을 권장하는 추세입니다. 주기적으로 바꾸라고 하면 사람들은 Password1!, Password2!처럼 예측 가능한 변형을 만들기 때문입니다.

재사용이 가장 위험한 이유

보안이 약한 작은 사이트에서 이메일과 비밀번호가 유출되면, 공격자는 그 조합을 이메일·포털·쇼핑몰·금융 서비스에 자동으로 대입합니다(크리덴셜 스터핑). 메인 이메일 비밀번호가 다른 사이트와 같다면 이메일을 통해 다른 계정의 비밀번호까지 재설정당할 수 있습니다. 사이트마다 다른 비밀번호를 쓰는 것이 길이보다 먼저입니다.

현실적인 관리 방법

1. 비밀번호 관리자 사용: 브라우저 내장 관리자나 전용 앱에 저장하면 사이트마다 다른 긴 비밀번호를 외울 필요가 없습니다.
2. 외워야 하는 것은 2~3개만: 비밀번호 관리자의 마스터 비밀번호, 메인 이메일, 휴대전화 잠금은 길고 외울 수 있는 문장형으로 만듭니다.
3. 2단계 인증: 이메일, 금융, SNS 계정은 인증 앱이나 패스키를 함께 사용합니다. 비밀번호가 유출돼도 로그인을 막을 수 있습니다.
4. 유출 확인: 유출 알림을 제공하는 비밀번호 관리자 기능이나 공신력 있는 유출 조회 서비스를 활용합니다.

생성기를 쓸 때 확인할 점

비밀번호 생성기는 암호학적으로 안전한 난수를 써야 합니다. 쓸모칸 비밀번호 생성기는 브라우저의 Web Crypto API(crypto.getRandomValues)로 생성하며, 만든 비밀번호를 서버로 보내거나 저장하지 않습니다. 생성된 비밀번호는 클립보드에 오래 남지 않도록 사용 후 다른 내용을 복사해 덮어쓰는 것이 좋습니다.

자주 묻는 질문

참고한 공식 자료

• KISA 보호나라
• NIST SP 800-63B Digital Identity Guidelines

이 글은 일반적인 기준을 설명하는 정보이며 개인별 법률·세무 판단을 대신하지 않습니다. 중요한 결정 전에는 본문에 적은 공식 기관 자료나 전문가 상담으로 확인하세요. 내용 오류는 문의 페이지로 알려주시면 확인 후 수정합니다.