패스프레이즈란｜외울 수 있고 뚫리기 어려운 비밀번호 만드는 법

패스프레이즈는 ‘길이’로 강하게 만드는 방법

패스프레이즈는 여러 단어를 이어 긴 비밀을 만드는 방법입니다. 기호를 섞어 짧게 만드는 것이 아니라, 외울 수 있는 단어를 무작위로 나열해 자릿수를 늘립니다. 무차별 대입에 걸리는 시간은 자릿수가 늘 때마다 곱셈으로 늘어나므로 길이가 더 효율적으로 효과를 냅니다.

주목할 점은 단어 6개가 영문·숫자·기호 12자와 거의 같은 강도라는 것입니다. 한쪽은 외울 수 있고 다른 쪽은 외울 수 없습니다. 외울 수 있느냐는 실무에서 매우 중요하며, 외울 수 없는 비밀번호는 포스트잇에 적히거나 다른 사이트에서 재사용됩니다.

패스프레이즈 만드는 법

1. 1

   단어를 무작위로 4~6개 고른다

   사전이나 앱의 단어 목록에서 주사위나 난수로 뽑습니다. 스스로 ‘좋아하는 단어 6개’를 고르면 취미나 일에 치우쳐 추측되기 쉬워집니다.

2. 2

   의미가 이어지지 않는지 확인한다

   ‘푸른·하늘·예쁜’처럼 문장이 되어 버렸다면 다시 뽑습니다. 관계없는 단어가 나열된 쪽이 강하고, 의외로 외우기도 쉬워집니다.

3. 3

   잇는 방식을 정한다

   하이픈이나 마침표로 잇거나 단어의 첫 글자를 대문자로 합니다. 구분자를 넣으면 입력할 때 틀리기 어려워집니다. 여기서의 궁리는 강도에 크게 기여하지 않으므로 입력하기 쉬움을 우선합니다.

4. 4

   사이트의 제약에 맞춘다

   ‘기호 필수’, ‘16자까지’ 같은 제약이 있는 사이트에는 패스프레이즈가 들어가지 않습니다. 그럴 때는 다음 장처럼 무작위 문자열로 바꿉니다.

5. 5

   며칠은 적어서 가까이 둔다

   외울 때까지 며칠만 종이에 적어 남의 눈에 띄지 않는 곳에 둡니다. 잠겨서 재설정하는 것이 짧은 기간의 메모보다 위험이 큰 경우가 많습니다.

한국어 단어로 만들 경우에는 영문 자판 상태로 친 형태로 나열하거나, 한글을 그대로 입력할 수 있는 서비스인지 먼저 확인하세요. 한글 입력이 되지 않는 화면(부팅 시 디스크 암호화나 BIOS 등)이 있으므로, 기기 잠금 해제에 쓰는 것은 영문 자판으로 친 형태로 해 두면 안전합니다.

패스프레이즈가 맞는 상황·맞지 않는 상황

모든 비밀번호를 패스프레이즈로 할 필요는 없습니다. 자기 머리로 외워야 하는 것만 패스프레이즈로 하고 나머지는 관리 앱에 맡기는 것이 현실적입니다.

공용 계정은 외울 수 있느냐가 아니라 전달 방법이 문제가 됩니다. 메일이나 채팅에 붙여 넣지 않고 전달하는 방법은 비밀번호를 안전하게 공유하는 방법에 정리해 두었습니다.

개별 사이트에 쓰는 무작위 문자열은 비밀번호 생성 도구로 만들 수 있습니다. 길이는 4~64자 범위에서 고를 수 있고 대문자·소문자·숫자·기호를 각각 켜고 끌 수 있어서, ‘기호 사용 불가’, ‘12자까지’ 같은 사이트 쪽 제약에 맞출 수 있습니다. 후보를 여러 개 한꺼번에 만들어 입력하기 쉬운 것을 고르고 그대로 관리 앱에 저장하세요. 생성한 문자열을 외우려 하지 않는 것이 전제입니다.

흔히 하는 실수

• 속담·가사·영화 대사를 쓴다. 유명한 문장은 그대로 사전에 실려 있어 길어도 순식간에 뚫립니다.
• 문자를 기호로 바꾼다(a를 @, o를 0 등). 이 변환은 공격 도구에 이미 들어 있어 강도가 거의 늘지 않습니다.
• 끝에 숫자와 기호를 붙여 조건을 채운다. ‘Password1!’형은 가장 먼저 시도되는 나열입니다.
• 같은 패스프레이즈를 여러 서비스에서 쓴다. 한 곳에서 유출되면 같은 조합이 다른 곳에서 시도됩니다.
• 단어 수를 줄이고 기호로 보완한다. 4개 미만까지 줄이면 길이로 얻은 이점이 사라집니다.

재사용의 위험은 자기 비밀번호의 강도와 무관하게 성립합니다. 아무리 길어도 유출된 서비스 쪽이 평문으로 보관하고 있었다면 의미가 없습니다. 자기 주소가 유출 목록에 올라 있지 않은지는 비밀번호 유출 확인 방법으로 알아볼 수 있습니다.

정기 변경은 더 이상 권장되지 않는다

‘90일마다 변경’이라는 운용은 오랫동안 일반적이었습니다. 현재 주요 가이드라인에서는 정기적인 변경을 권장하지 않습니다. 강제로 바꾸게 하면 이용자는 외우기 쉬운 규칙으로 조금씩 바꾸게(끝의 숫자를 1씩 늘리는 등) 되어 오히려 추측하기 쉬워지기 때문입니다.

• 유출 징후가 있을 때 바꾼다. 이것이 가장 효과 있는 타이밍입니다.
• 서비스에서 유출 통지가 오면 그 서비스와, 같은 것을 재사용했던 곳을 모두 바꿉니다.
• 기기를 잃어버렸다, 공유한 상대와의 관계가 바뀌었다 같은 사람 쪽의 변화가 있을 때 바꿉니다.
• 기한으로 바꾸기보다 긴 것을 한 번 만들어 계속 쓰고 2단계 인증을 더하는 편이 안전해집니다.

만드는 법을 정리한 뒤에는 보관 문제가 남습니다. 외우는 것은 마스터 패스프레이즈 하나만으로 하고 나머지는 관리 앱에 넣는 형태가 가장 무너지기 어려운 구성입니다. 도입 순서는 비밀번호 관리 앱 사용법에 정리해 두었습니다.

자주 묻는 질문

패스프레이즈와 비밀번호는 무엇이 다른가요?

구조로는 같은 것이고 만드는 방침이 다릅니다. 비밀번호는 문자 종류를 섞어 짧게 만드는 경우가 많은 데 비해, 패스프레이즈는 무작위로 고른 단어를 여러 개 이어 길이로 강하게 합니다. 무차별 대입에 걸리는 시간은 자릿수가 늘 때마다 곱셈으로 늘어나므로 길이가 더 효율적으로 강도에 효과를 냅니다. 무작위 단어 6개는 영문·숫자·기호 12자와 거의 같은 강도이며, 게다가 외울 수 있습니다.

패스프레이즈는 단어가 몇 개 필요한가요?

무작위로 고른 단어로 4개가 하한, 6개면 당분간은 충분합니다. 4개면 영문·숫자·기호 8자와 같은 정도, 6개면 12자와 같은 정도의 강도가 됩니다. 다만 이는 단어를 사전이나 난수로 무작위로 뽑은 경우의 이야기입니다. 스스로 떠올린 단어를 나열하면 의미 있는 연결로 치우쳐 예상보다 약해집니다. 단어 수를 줄이고 기호로 보완하는 방법은 길이로 얻은 이점을 없애므로 피하세요.

속담이나 좋아하는 가사를 패스프레이즈로 해도 되나요?

피하세요. 길이는 있어도 유명한 문장이나 문구는 공격 쪽 사전에 그대로 실려 있습니다. 가사, 영화 대사, 책의 한 구절, 속담은 모두 수록되어 있다고 전제해야 합니다. 문자를 기호로 바꾸는 궁리(a를 @, o를 0으로 하는 등)도 변환 규칙째 공격 도구에 들어 있어 강도를 거의 더하지 않습니다. 의미가 이어지지 않는 단어를 무작위로 나열하는 편이 안전합니다.

비밀번호는 정기적으로 바꾸는 편이 좋나요?

기한을 정한 정기 변경은 현재 주요 가이드라인에서 권장되지 않습니다. 강제로 바꾸게 하면 끝의 숫자를 1씩 늘리는 것 같은 예측하기 쉬운 변경 방식이 되어 오히려 약해지기 때문입니다. 바꿔야 할 때는 유출 통지를 받았을 때, 유출 목록에 자기 주소가 올라 있었을 때, 기기를 잃어버렸을 때처럼 구체적인 징후가 있을 때입니다. 그 밖의 기간에는 긴 것을 하나 만들어 계속 쓰고 2단계 인증을 더하는 편이 효과가 있습니다.