안전한 비밀번호: 복잡한 것보다 긴 것, 외우기보다 관리하기
patrick · 작성
비밀번호의 강도는 '추측해야 하는 경우의 수'로 정해지고, 경우의 수는 문자 종류보다 길이에 훨씬 크게 늘어납니다. 무작위로 만든 16자 비밀번호는 사람이 머리로 만든 '복잡한' 8자보다 비교할 수 없을 만큼 강합니다. 사이트마다 다른 비밀번호를 쓰고, 외우는 대신 비밀번호 관리자에 맡기는 것이 현실적인 답입니다.
강도를 숫자로 보면
무작위 비밀번호의 강도는 비트(bit)로 표시합니다. 쓸 수 있는 문자가 N종류이고 길이가 L이면 경우의 수는 N의 L제곱, 강도는 'L × log₂N' 비트입니다. 1비트 늘 때마다 맞히는 데 걸리는 시간이 두 배가 됩니다.
| 비밀번호 | 경우의 수 기준 | 강도 |
|---|---|---|
| 소문자 8자 | 26⁸ | 약 38비트 |
| 대·소문자·숫자·기호 8자 | 94⁸ | 약 52비트 |
| 소문자 16자 | 26¹⁶ | 약 75비트 |
| 대·소문자·숫자·기호 16자 | 94¹⁶ | 약 105비트 |
기호를 섞어 8자로 만드는 것보다 소문자만으로 16자를 만드는 쪽이 강합니다. 단, 이 계산은 무작위로 뽑았을 때만 맞습니다. 'Password1!'처럼 사람이 만든 규칙은 해커의 사전에 이미 들어 있어 실제 강도는 훨씬 낮습니다.
주기적으로 바꾸지 않아도 되나요?
미국 표준기술연구소(NIST)의 디지털 신원 지침은 유출 정황이 없으면 주기적인 강제 변경을 권하지 않습니다. 석 달마다 바꾸게 하면 사람들은 끝 숫자만 1씩 올리기 때문입니다. 대신 길이를 넉넉히 허용하고, 이미 유출된 비밀번호 목록과 대조해 막으라고 권합니다.
이런 비밀번호는 피하세요
유출된 비밀번호 목록을 보면 사람들이 만드는 비밀번호는 놀랄 만큼 비슷합니다. 해커는 이런 패턴부터 시도하므로, 아래에 해당하면 길이와 관계없이 약합니다.
- 생일·전화번호·차량 번호: SNS나 유출된 개인정보로 쉽게 알아낼 수 있습니다.
- 키보드 배열: qwer1234, asdf, 1q2w3e4r 같은 줄 따라 누르기는 가장 먼저 시도되는 조합입니다.
- 사이트 이름 붙이기: naver123!, kakao123!처럼 기본 비밀번호에 사이트 이름만 바꾸면 하나만 알아도 나머지를 짐작합니다.
- 단어 + 숫자 + 느낌표: 'Sarang2026!'처럼 대문자로 시작해 숫자와 기호로 끝나는 형태는 규칙을 맞추려는 사람들이 가장 많이 만드는 모양입니다.
현실적인 관리법
- 사이트마다 다르게: 한 곳이 털리면 같은 비밀번호를 쓴 모든 계정이 위험해집니다(크리덴셜 스터핑). 이것이 길이보다도 중요합니다.
- 관리자에 맡기기: 브라우저나 휴대폰에 내장된 비밀번호 관리자, 또는 전용 앱에 저장하면 외울 필요가 없습니다. 관리자 자체의 마스터 비밀번호만 길게 정하세요.
- 새로 만들 때는 무작위로: 비밀번호 생성기로 16자 이상을 만들어 바로 관리자에 저장합니다. 생성은 브라우저 안에서 일어나고 서버로 가지 않습니다.
- 2단계 인증 켜기: 메일·금융·SNS처럼 중요한 계정은 인증 앱이나 패스키를 켜 두면 비밀번호가 새어도 로그인이 막힙니다.
외워야 하는 비밀번호라면
컴퓨터 로그인이나 관리자 마스터 비밀번호처럼 꼭 외워야 한다면, 서로 관계없는 단어 4~5개를 무작위로 골라 잇는 방식(패스프레이즈)이 기억하기 쉽고 강합니다. 노래 가사·속담처럼 널리 알려진 문장은 무작위가 아니므로 피하세요. 와이파이 비밀번호처럼 여러 사람에게 알려야 하는 것은 길게 만들고 QR코드로 공유하면 받아 적는 수고가 없습니다.