글 하루 · 갱신일 · 2026-09-07
안전한 비밀번호 만들기 — 외울 수 있는 형태로
비밀번호를 실제로 추측하기 어렵게 만드는 것은 길이 하나뿐입니다. 사람들이 외우고 있는 규칙은 거의 다 다른 이야기를 합니다. 대소문자 섞기, 기호 하나, 끝에 숫자 — 그런 조건이 있는 이유는 가입 화면이 기계적으로 확인하기 쉬워서이지, 어려움이 거기서 나오기 때문이 아닙니다.
계산은 무뚝뚝합니다. 한 글자가 늘 때마다 쓰고 있는 문자 종류만큼 품이 곱해집니다. 소문자 네 글자를 더하면 약 사십오만 배입니다. a를 골뱅이로 바꾸는 것은 두 배쯤 — 그 치환은 어떤 추측 프로그램이든 가장 먼저 적용하는 규칙 중 하나이기 때문입니다.
아래는 실제로 외워지는 형태를 만드는 법, 내 정보 중 무엇을 빼야 하는지, 그리고 직접 생각해 내야 하는 비밀번호가 생각보다 훨씬 적은 이유입니다.
지렛대는 길이고 나머지는 자투리다
소문자만 쓴 열두 글자가 자판의 기호를 다 동원한 여덟 글자보다 추측하기 어렵습니다. 의외로 들리지만 접전도 아닙니다. 긴 쪽이 천 배 단위로 이깁니다.
조언이 단조로워집니다. 열여섯 글자 이상으로 가면 나머지 질문은 대개 의미를 잃습니다. 낱말을 이어 붙인 형태는 힘들이지 않고 거기까지 갑니다 — 그 형태를 권하는 이유의 전부가 그것입니다.
이 사이트의 강도 검사기는 같은 계산을 반대편에서 보여줍니다. 한 글자를 더하면 시간이 몇 배가 되는지를 숫자로 내놓는데, 그 숫자는 대개 논쟁을 끝낼 만큼 큽니다.
쓸 만한 두 가지 방법과 각각의 함정
첫째는 상관없는 낱말 네다섯 개를 구분 기호로 잇는 형태입니다. 일하는 부분은 「상관없는」 쪽입니다. 사과-바나나-귤-포도는 하나의 분류이고, 분류를 아는 추측 프로그램은 뒤질 범위가 확 줄어듭니다. 생활의 서로 다른 구석에서 낱말을 집고, 문장을 만들려 하지 마세요.
둘째는 나만 할 법한 한 문장에서 각 낱말의 첫 글자를 뽑는 형태입니다. 가족이 계속 잘못 부르는 노랫말, 기억에 남은 혹평 한 줄, 동료가 했던 이상한 말. 첫 글자를 취하고 문장부호를 남기면, 떠올리는 게 아니라 다시 조립할 수 있는 촘촘한 문자열이 됩니다.
첫째는 낱말이 한 주제에서 나오면 무너집니다. 둘째는 문장이 유명하면 무너집니다 — 인용구는 이미 목록에 있습니다. 그 밖에는 둘 다 충분하고, 둘 다 습관처럼 덧붙이는 치환이 필요 없습니다.
나에게서 나온 것은 넣지 않는다
남이 십 분이면 알아낼 수 있는 것은 아무리 개인적으로 느껴져도 무작위가 아닙니다. 이름, 생일, 아이 이름, 결혼한 해, 응원하는 팀, 사진 올리는 강아지 — 전부 같은 분류이고, 표적을 정한 추측은 거기서 시작합니다.
곤란한 점은 그런 정보일수록 외우기 쉽게 느껴진다는 것입니다. 그래서 가장 중요한 계정에 바로 그것이 쓰입니다. 어떤 말이 내 삶에 대해 무언가를 뜻한다면, 그건 일기에 쓸 것이지 비밀번호에 넣을 것이 아닙니다.
써 볼 만한 시험이 있습니다. 내 공개 게시물을 몇 분 거슬러 보면 누군가 그것을 다시 만들어 낼 수 있나요? 그렇다면 바꾸세요. 아끼는 계정부터 바꾸세요.
재사용하면 강함이 지워진다
훌륭한 비밀번호 하나를 열 곳에 쓰는 것은 약한 배치입니다. 그중 한 곳이 털리는 순간 강함이 의미를 잃기 때문입니다. 공격하는 쪽은 새어 나온 조합을 다른 서비스에 자동으로 밀어 넣습니다. 평범한 계정이 뚫리는 가장 흔한 경로가 이것입니다.
사이트마다 조금씩 바꾸는 방법이 별로 효과가 없는 것도 같은 이유입니다. 끝에 사이트 이름을 붙이면 규칙이 생기고, 새어 나온 묶음 속에서 규칙을 찾아 넓히는 일은 손쉽습니다.
목표는 「끝내주는 비밀번호 하나」가 아닙니다. 계정마다 다른 비밀번호이고, 그건 다른 문제이며 푸는 방법도 다릅니다.
직접 지어야 할 것은 서너 개뿐이다
거의 모든 비밀번호는 길고 무작위이고 안 외워져도 됩니다. 관리자 프로그램이 대신 쳐 주니까요. 정말로 외워야 하는 것은 나머지 전부를 지키는 몇 개뿐입니다 — 관리자 자신의 비밀번호, 잠금을 푸는 기기, 그리고 다른 모든 것을 재설정할 수 있는 메일 계정.
그 셋을 앞 절의 방법으로 손수 만들고, 서로 다르게 하고, 그것들이 지키는 관리자 안에 넣지 마세요. 나머지는 생성하고 잊어도 됩니다.
작업량이 달라지는 지점이 여기입니다. 외울 수 있는 비밀번호를 마흔 개 지어내는 것은 불가능하고, 세 개 지어내는 것은 한나절입니다.
주기적으로 바꾸라는 말은 낡았다
구십 일마다 강제로 바꾸게 하는 규칙은 오랫동안 표준이었지만, 원래 그것을 권하던 쪽(많은 직장 규정이 베껴 온 미국 표준 기관 NIST를 포함해)이 철회했습니다. 현행판 SP 800-63B-4는 주기적으로 바꾸게 하지 말라고 못 박고, 같은 이유로 문자 조합 규칙도 권하지 않습니다. 비밀번호가 나빠졌기 때문입니다. 사람들은 끝의 숫자만 하나씩 돌렸고, 그 규칙성은 대체된 원래 비밀번호보다 읽기 쉬웠습니다.
바꾸는 것은 이유가 있을 때입니다. 서비스가 유출을 알렸거나, 내가 하지 않은 로그인을 봤거나, 지금 와서 의심스러운 페이지에 입력했거나, 누구에게 알려 줬을 때. 그 순간이지 달력 위가 아닙니다.
남겨 둘 예외 하나는, 몇 년 전에 재사용해 놓고 아직 고치지 않은 계정입니다. 그건 어떤 방침과도 무관하게 이미 기한이 지났습니다.
출처 NIST SP 800-63B(Digital Identity Guidelines)
자주 묻는 질문
낱말을 이어 붙인 형태가 짧고 복잡한 비밀번호보다 정말 안전한가요?
네, 그것도 근소한 차이가 아닙니다. 상관없는 낱말 넷은 치는 품만 늘 뿐이고 추측하는 품은 낱말마다 불어납니다. 기호를 채워 넣은 짧은 비밀번호는 기호를 이미 예상하는 프로그램이 풉니다. 짧은 쪽이 이기는 경우는 사이트가 길이에 상한을 둔 때뿐이고, 가입할 때 살펴볼 값어치가 있습니다.
비밀번호 관리자를 꼭 써야 하나요?
꼭은 아니지만, 안 쓰면 상관없는 비밀번호 수십 개를 외워야 합니다. 아무도 못 하니 결국 재사용하게 됩니다. 깔기 싫다면 차선은 기기와 떨어진 물리적으로 안전한 곳에 종이로 적어 두는 것입니다. 유행하지 않는 조언이지만 재사용보다는 훨씬 낫습니다.
관리자가 만들어 준 비밀번호가 내가 지은 것보다 나은가요?
기억으로 쳐야 하는 서너 개를 빼면 낫습니다. 생성기는 구조가 전혀 없는 문자열을 만드는데, 그건 사람이 꾸준히 못 하는 일입니다. 손으로 만든 것은 선택지가 없는 계정을 위해 남겨 두세요.
강도 검사기에 비밀번호를 넣어도 안전한가요?
그 페이지에 달렸기 때문에 정직한 답은 「진짜 말고 같은 형태를 넣으라」입니다. 우리 것은 브라우저 안에서 계산하고 아무것도 보내지 않으며 네트워크 탭에서 직접 확인할 수 있습니다. 다만 그 습관은 어디서든 지킬 값어치가 있습니다.
아래에 있는 보안 질문은 어떻게 하나요?
대개 계정에서 가장 약한 부분입니다. 진짜 답은 추측할 수 있고 종종 공개돼 있으니까요. 추가 비밀번호로 다루세요 — 무작위 문자를 넣고 그 문자를 비밀번호와 함께 보관하고, 정직하게 답하지 마세요.
내 비밀번호가 이미 유출됐는지 어떻게 아나요?
대부분의 관리자 프로그램과 일부 브라우저가 알려진 유출 목록과 대조해 줍니다. 이미 비밀번호를 맡긴 곳이라 거기서 하는 것이 맞습니다. 우리가 그 대조를 제공하지 않는 것은 일부러입니다 — 굳이 끌어들일 필요 없는 서버로 무언가를 보내는 일이 되니까요.