기억하기 쉬운 강력한 비밀번호 만드는 법

사이트가 대문자, 숫자, 기호를 넣은 새 비밀번호를 요구하면, 또 한 번 반려동물 이름에 “123!”을 붙여 입력하죠. 갈랜드에 사는 저희 엄마는 지금도 유일한 규칙은 비밀번호를 절대 적어 두지 않는 거라고 하시는데, 알고 보니 절반만 맞는 말이에요.

비밀번호는 얼마나 길어야 하는지, 왜 기호 범벅보다 무작위 단어가 나은지, 그리고 전부 안전하게 관리하는 법을 알려 드릴게요. 투어 코스는 제 책상, 왼쪽에서 오른쪽으로예요.

1번 정류장: 키보드 왼쪽 메모장

길이가 먼저예요. 미국 연방 사이버 기관인 CISA는 최소 16자를 권해요. 연방 표준 연구소인 NIST는 비밀번호만 단독으로 쓸 때 15자를 최저 기준으로 정해요.

쉽게 말하면 “패스프레이즈”는 단어로 만든 비밀번호예요. CISA는 서로 관련 없는 단어 4~7개를 제안해요. “Cactus lantern velvet orbit”은 27자이고, 머릿속에 그리기도 쉬워요.

• 피하기: 이름, 생일, 응원하는 팀. 이런 정보는 상당수가 SNS에 올라와 있어요.
• 피하기: “o”를 “0”으로 바꾸기. 공격자들도 다 알아요.
• 안심하기: NIST는 사이트들에 기호와 숫자 규칙을 강요하지 말라고 해요.

숨은 팁: 단어는 머리 말고 주사위나 생성기가 고르게 하세요. EFF 방식은 단어 하나당 주사위 다섯 개를 굴려 7,776개 단어 목록에서 고르고, 최소 여섯 단어를 권해요. 띄어쓰기도 글자 수에 들어가고, NIST는 사이트가 띄어쓰기를 받아야 한다고 해요.

2번 정류장: 가운데 노트북

여기에 비밀번호 관리자가 살아요. 비밀번호를 만들고, 저장하고, 자동으로 채워 주는 프로그램이에요. 많은 브라우저와 휴대폰에 기본으로 들어 있어요.

1. 강력한 패스프레이즈 하나만 기억하세요. 관리자 비밀번호요.
2. 나머지 계정은 관리자가 계정마다 다른 비밀번호를 만들게 하세요.
3. 자동 채우기를 쓰세요. NIST는 사이트가 비밀번호 관리자를 허용해야 한다고 해요.

왜 계정마다 하나씩일까요? 한 사이트에서 유출이 생기면 같은 비밀번호를 쓰는 모든 계정이 열려요. Pwned Passwords 서비스는 내 비밀번호가 유출됐는지 알려 주는데, 기기 밖으로 나가는 건 뒤섞은 값의 짧은 일부뿐이에요.

3번 정류장: 노트북 오른쪽 휴대폰

두 번째 자물쇠예요. 휴대폰으로 받는 코드나 알림을 두 번째 단계로 쓰면, NIST는 비밀번호를 8자까지 짧게 해도 된다고 해요.

사이트가 “패스키”를 제공하면 쓰세요. 쉽게 말하면 패스키는 휴대폰 잠금을 풀 때처럼 얼굴, 지문, PIN으로 로그인하는 방식이에요. 표준을 정하는 FIDO Alliance는 이걸 피싱에 강하다고 설명해요.

4번 정류장: 맨 위 서랍

라벨 붙은 봉투 하나. 제 라벨기 손을 안 거치는 물건이 없거든요. 안에는 관리자 패스프레이즈와 계정들이 준 백업 코드가 들어 있어요. 엄마의 규칙은 여기서 업데이트돼요. 영국 사이버 기관은 안전한 곳에 둔다면 비밀번호를 적어 둬도 괜찮다고 해요. 화면에 붙인 포스트잇 말고, 서랍에요.

문제 구역: 오래된 보안 질문

자랑스럽지 않은 티켓이에요. 아직도 “좋아하는 음식은?”을 묻는 오래된 계정들. Google 연구진에 따르면 영어 사용자의 좋아하는 음식 답은 한 번만 추측해도 거의 5번 중 1번은 맞혔어요. 지어낸 답은 더 자주 잊어버렸고요.

숨은 팁: 무작위 문구로 답하고, 관리자에 메모로 저장해 두세요.

쉬운 것부터 따라 하세요

서랍에서 돌아보면, 책상 전체를 움직이는 규칙은 하나예요. 하나만 기억하고, 나머지는 저장하기.

1. 이메일 비밀번호를 패스프레이즈로 바꾸세요. 다른 계정의 비밀번호 재설정은 보통 이메일로 오니까요.
2. 이메일과 은행 계정에 두 번째 단계를 켜세요.
3. 다른 계정은 하나씩 관리자로 옮기세요.

저장하세요: 비밀번호 한눈에 보기