해커는 소비자용 그래픽카드로 비밀번호를 풀어낼 수 있습니다. 그런데 그 속도를 보고 나서, 저는 오히려 비밀번호를 더 외우기 쉽게 만들기 시작했습니다.
뉴스에 유출과 해킹 소식이 늘어날수록, 이상적인 비밀번호란 무엇일까 하는 생각이 자주 듭니다.
저는 수년간 전문가 조언을 바탕으로 그 정의를 세워 왔습니다. 길고, 무작위이며, 고유해야 한다는 것입니다. 그런데 요즘에는 답이 실제로는 그보다 덜 구체적이라는 생각이 듭니다.
제가 보기에 이상적인 비밀번호는 단순하면서도 여전히 강력한 비밀번호입니다. 그리고 이 정의에 맞는 것은 상황에 따라 달라질 수 있습니다. 제 말을 끝까지 들어보세요.
어떤 경우에도 이상적인 비밀번호가 사실 패스키입니다(즉, 비밀번호가 아닙니다). 패스키는 단순함과 보안의 정수입니다. 외울 필요도 없고 재사용할 수도 없으며, 2단계 인증 요소가 기본으로 들어 있습니다. 이런 이유로 저는 대부분의 사람에게 패스키를 가장 먼저 권합니다.
반면 패스키를 지원하지 않는 웹사이트에서는 이상적인 비밀번호가 정말로 길고, 무작위이며, 고유한 것, 즉 비밀번호 관리자가 쉽게 생성하고 저장할 수 있는 비밀번호입니다. 32자 비밀번호든 8자 비밀번호든 들이는 수고는 거의 같습니다.
그렇다면 비밀번호를 직접 외워야 할 때는 어떨까요? 제 생각이 가장 크게 바뀐 부분이 바로 여기입니다. 적어도 몇 개는 외워 두어야 합니다. 최소한 비밀번호 관리자용 하나와 이메일 주소용 하나, 이렇게 두 개입니다. 비밀번호 관리자에 접근할 수 없게 되는 바람에 이메일 계정이나 다른 중요한 계정(예: 은행)에서 잠겨 버리는 상황은 피해야 합니다.
그렇다고 외우는 일이 어렵게 느껴져서는 안 됩니다. 예전에는 패스프레이즈와 유사 무작위화(예: 알고 있는 노래 가사에서 두 번째 글자를 뽑고 사이사이에 숫자와 특수문자를 섞는 방식)를 똑같이 권했습니다. 지금은 훨씬 더 패스프레이즈 쪽입니다. 길수록 좋습니다. 무작위 단어 조합을 외울 수 있다면 금상첨화입니다.
제 생각을 바꾼 것은 비밀번호 해킹 표를 다시 한번 살펴본 일이었습니다.
사이버 보안 업체들은 이따금 이런 정보를 공개합니다. 그중 하이브 시스템즈(Hive Systems)는 소비자용 PC 하드웨어로 비밀번호를 얼마나 쉽게 풀 수 있는지 살펴보는 자료를 통째로 내놓습니다. 올해 데이터는 기본적인 사항뿐 아니라, 현실적인 기준선이 어디쯤인지도 다시 일깨워 줬습니다.
(기본적인 사항: 유출 사고로 도난당했거나, 여러 사이트에서 재사용했거나, 흔한 사전 단어로 된 비밀번호는 즉시 뚫립니다.)
요즘 웹사이트의 최소 요구 조건인 8자 비밀번호를 대문자와 소문자만 섞어 만들면, 엔비디아 RTX 5090 그래픽카드 16장으로 이루어진 장비가 푸는 데 12년이 걸립니다. 숫자를 더하면 그 시간은 50년으로 늘어납니다. 특수문자까지 넣으면 이 고성능 GPU 무리에 132년이 필요합니다.
그렇다면 아주 긴 비밀번호가 꼭 필요할까요? 아닙니다. 그래도 여전히 좋은 생각일까요? 물론입니다. 비밀번호 정보가 유출되면 어떻게 될지 알 수 없기 때문입니다. 하지만 비밀번호를 외워야 한다면, 충분히 괜찮으면서 머릿속에 남는 것을 우선하세요. 특히 2단계 인증과 함께 쓴다면, 완벽하지만 잊어버리기 쉬운 비밀번호보다 낫습니다.
비밀번호 길이를 몇 글자 줄이더라도 이중 계정 보호 방식을 택하는 편이 낫습니다. 계정 탈취 시도를 막아 낼 가능성이 더 높아집니다. 네 단어가 넘는 패스프레이즈를 고른다면 길이와 강도 사이에서 고를 필요조차 없을지도 모릅니다.
지금처럼 사이버 보안이 복잡한 상황에서, 저는 더 쉬운(그러면서도 충분히 보호되는) 길을 택하는 쪽입니다.
※ 해당 기사는 퀘이사존 공식 기사가 아닌 해외 뉴스/기사를 번역한 기사입니다.
퀘이사존 견해와 주관은 포함되어 있지 않습니다.
