비밀번호

password

• 법적 정의
  • 이용자 또는 개인정보취급자 등이 시스템 또는 정보통신망에 접속할 때 식별자와 함께 입력하여 정당한 접속권한을 가지는 자라는 것을 식별할 수 있으며 시스템에 전달해야 하는 고유 문자열로서 타인에게 공개되지 않는 정보
  • 정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는 정보통신망 등에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보
• 법적 요구사항
  • 비밀번호는 일방향 암호화하여 저장하여야 한다.
  • 개인정보취급자의 비밀번호 복잡도 기준을 설정해야 한다.

안전한 비밀번호 작성 규칙

• 문자 조합과 길이 : 영문 대문자·소문자·숫자·특수문자 가운데 2종류 이상을 섞으면 10자리 이상, 3종류 이상을 섞으면 8자리 이상으로 만든다. 대문자와 소문자는 서로 다른 종류로 센다
• 규칙성 금지 : 키보드에서 나란히 놓인 글자(qwer, asdf, 1qaz), 같은 문자 반복(aaaa), 연속된 숫자·문자(1234, abcd)를 쓰지 않는다
• 추측할 수 있는 정보 금지 : 사전에 있는 단어, 이름·생일·전화번호·아이디 같은 개인정보, 서비스 이름을 쓰지 않는다
• 재사용 금지 : 여러 사이트에 같은 비밀번호를 쓰지 않고, 유출이 의심되면 바로 바꾼다

조합 규칙만 채웠더라도 키보드 배열이나 단어를 이어 붙인 비밀번호는 사전 대입 공격의 목록에 먼저 들어 있어 쉽게 뚫린다. 그래서 같은 조합이면 규칙성이 없는 쪽이 더 강하다. 최근에는 외우기 쉬운 여러 단어를 이은 긴 문구(passphrase)를 권하고, 주기적인 강제 변경보다 유출 여부 확인과 다중 인증을 중시한다(NIST SP 800-63B).

예	평가
478939834891324	숫자 한 종류뿐이라 길어도 조합 규칙을 채우지 못한다
ASDqwe221aH	3종류 11자리지만 ASD·qwe 가 키보드 연속 배열이다
!qwerasdfqwd!	2종류 13자리지만 qwer·asdf 를 그대로 이었다
r7Tk#9vQm2	4종류 10자리이고 규칙성이 없다

같이 보기

• 패스워드
• 솔트