결론부터 시작하자. 답은 짧은데 온전히 말해 주는 사람이 거의 없기 때문이다. 이유가 있을 때. 구십 일마다가 아니라.
달력을 보고 바꾸는 습관은 몸에 배어 있어서 거의 위생처럼, 이를 닦는 일처럼 느껴진다. 그러나 그것은 유효기간이 있는 권고였고 기간은 이미 지났다. 미국 NIST가 2003년에 썼고, 2017년에 철회했으며, 그 문서의 저자는 같은 해에 공개적으로 사과했다. 그 이야기는 비밀번호란 무엇인가에서 통째로 다뤘다. 여기서 중요한 것은 다른 쪽, 거의 설명되지 않는 쪽이다. 당신이 오늘, 당신의 비밀번호를 가지고 무엇을 할 것인가.
달력은 당신이 무엇을 도둑맞았는지 모른다
날짜로 돌리는 방식의 문제는 날짜에 아무런 정보가 없다는 점이다.
누군가 2월의 어느 화요일에 당신의 비밀번호를 손에 넣었다면, 기한이 됐다고 4월 1일에 바꾸는 것은 그에게 한 달 반이 넘는 접근권을 선물하는 셈이다. 그리고 아무도 손대지 않았다면, 바꾸는 일은 아무것도 막지 못했다. 좋은 비밀번호를 아마도 더 나쁜 비밀번호로 바꿔 놓았을 뿐이다. 의무로 짜내는 비밀번호는 성의 없이 짜내기 때문이다.
실패의 메커니즘 전체가 여기 있다. 강제 순환은 새 비밀번호를 만들지 않는다.
변종을 만든다. Yeoreum2026!이 Gaeul2026!이 되고 다시 Gyeoul2026!이 된다.
공격하는 쪽은 그것을 안다. 그 수열은 그것이 나온 벽걸이 달력만큼이나 예측
가능하기 때문이다. 시스템은 만족한다——비밀번호가 「바뀌었다」——그런데 실제 안전은
올라간 게 아니라 내려갔다.
그래서 NIST는 SP 800-63B에서 두 가지를 함께 말한다. 시간을 이유로 임의로 바꾸게 하지 말 것, 그리고 침해의 정황이 있으면 즉시 변경을 강제할 것. 바꾸는 일이 아무래도 좋다는 뜻이 아니다. 방아쇠가 날짜가 아니라 사실이어야 한다는 뜻이다.
정말로 셈에 들어가는 이유들
목록은 이렇다. 다음 중 하나라도 벌어졌다면 비밀번호는 다음 달이 아니라 오늘 바꾼다.
- 유출 목록에 나타났다. 해당 서비스의 유출이든, 같은 것을 쓰던 다른 어떤 서비스의 유출이든.
- 재사용했다.
X가 유출됐고 다른 네 곳에도 같은 것을 걸어 뒀다면, 바꿀 비밀번호는 하나가 아니라 다섯이다. - 그 사이트가 아닌 사이트에 입력했다. 급하게 온 메일, 링크, 비슷하게 생긴 양식. 2초 뒤에 알아차렸다는 사실은 상관없다. 이미 보낸 뒤다.
- 공유했다. 배우자에게, 동료에게, 업무 대화방에, 종이에. 누가 읽는지 당신이 통제하지 못하는 통로를 지나간 비밀번호는 더 이상 당신 것이 아니다.
- 이상한 움직임이 보인다. 가 본 적 없는 곳에서의 로그인, 요청하지 않은 재설정 메일, 쓴 적 없는 보낸 메시지.
- 기기가 침해됐다. 악성코드가 있는 컴퓨터, 잃어버린 휴대전화, 모르는 수리점을 거쳐 온 노트북.
- 서비스가 알려 준다. 회사가 그 메일을 보내면 그날 안에 처리하라. 문자 그대로 SP 800-63B가 상정하는 경우다.
- 동거가 끝났다. 헤어진 상대, 함께 쓰던 집, 동업자. 둘의 것이던 계정이 이제 한 사람의 것이 되었다.
공통점을 보라. 전부 사실이다. 「구십 일이 지났다」는 항목은 하나도 없다.
첫 번째 항목에는 도구가 있다. 특정 비밀번호가 이미 돌아다니는 목록에 있는지, 그리고 얼마나 버틸지 알고 싶다면 비밀번호 검사기에 넣어 보라. 분석은 당신의 브라우저 안에서 이뤄지고, 거기서 밖으로 나가지 않는다.
이유가 있을 때는 순서가 중요하다
비밀번호를 바꾸는 것은 당연한 수순이고, 많은 경우 첫 번째 수순이 아니다. 같은 일을 두 번 하지 않게 해 주는 순서는 이렇다.
먼저 기기. 입력하는 것을 읽어 가는 무언가가 깔려 있다고 의심된다면, 바로 그 기기에서 비밀번호를 바꾸는 일은 새 비밀번호를 직접 건네주는 것과 같다. 먼저 정리하거나 다른 기기를 쓰라.
그다음 메일. 당신의 메일 계정은 여러 계정 중 하나가 아니다. 나머지 전부의 「비밀번호를 잊었어요」 링크를 받는 계정이다. 메일을 쥔 사람은 나머지를 정문으로 쥔다. 시작할 비밀번호가 하나뿐이라면 바로 그것이다.
이어서 열려 있는 세션을 닫는다. 비밀번호를 바꿔도 이미 안에 있는 사람이 늘 쫓겨나는 것은 아니다. 계정 설정에서 모든 기기에서 로그아웃하는 항목을 찾아 사용하라. 그러지 않으면 침입자는 당신의 비밀번호가 더는 필요 없는 세션으로 계속 연결돼 있다.
그리고 마지막으로, 무엇을 심어 놓았는지 확인한다. 가장 많이 건너뛰는 단계다. 계정에 들어온 사람은 구경만 하지 않는다. 복구용 메일 주소를 바꾸고, 전화번호를 추가하고, 자기 이차 인증을 켜고, 애플리케이션을 연결하고, 메일함에 전달 규칙을 심는다. 비밀번호만 바꾸고 그것을 확인하지 않으면, 내일 활짝 열린 문으로 다시 들어온다. 복구 수단, 승인된 기기, 연결된 앱, 전달 규칙을 되짚어 보라.
한 가지 더. 너무 당연해서 가장 많이 무시되는 것이다. 바꿀 때 새 비밀번호는 반드시 새것이어야 한다. 늘 쓰던 것에 숫자만 바꾼 것이 아니라. 생성기에서 만들고, 당신의 기억에 의존하지 않는 곳에 보관하라.
나머지 삼백육십 일에는 무엇을 하나
방아쇠가 사실이고 그 사실이 드물다면, 질문은 다른 것이 된다. 그러면 할 일이 없는가? 정반대다. 순환이 서툴게 풀려던 문제는 네 가지로 잘 풀린다. 그리고 네 가지 모두 한 번만 하면 된다.
길게 만들 것. SP 800-63B는 비틀기보다 길이를 앞세운다. 긴 비밀번호가 기호를 욱여넣은 짧은 것보다 낫다. 일의 대부분은 여기에 있다.
사이트마다 다르게 할 것. 남의 유출을 화재가 아니라 작은 사고로 바꿔 주는 것이 바로 이것이다. 계정마다 고유하다면 하나가 새어도 나머지에 닿지 않는다. 돌려쓴다면, 써 본 기억조차 없는 서비스가 당신 은행 계정의 안전을 결정한다.
유출 목록과 대조할 것. NIST가 한 교체가 정확히 이것이다. 기호를 요구하는 대신, 당신의 비밀번호가 이미 돌아다니지 않는지 확인하는 것. 이 확인은 정말로 유효기간이 있다——오늘 목록에 없는 비밀번호가 내년에는 올라 있을 수 있다——그래서 좋은 관리자는 이 확인을 스스로 반복하고 당신에게 알려 준다.
가능한 곳에는 이차 인증을 둘 것. 이차 인증이 걸려 있으면 훔친 비밀번호는 열쇠이기를 그만두고 반쪽 열쇠가 된다.
이 넷이 함께 순환이 한 번도 해내지 못한 일을 해낸다. 이유가 있는 바로 그때 비밀번호를 바꾼다. 이유가 있다는 사실을 당신이 알게 되기 때문이다. 목록을 지켜보는 관리자는 경보 장치다. 달력은 아무것도 알리지 않는다. 그저 지나갈 뿐이다.
회사에서 구십 일마다 강제한다면
흔하다. 십오 년 전에 쓰인 뒤 아무도 다시 열어 보지 않은 정책이 있기 때문이다. 두 가지.
첫째, 실무적으로. 바꿔야 한다면 진짜로 바꿔라. 통째로 새것을 생성해 관리자에 넣어라. 계절별 변종은 바꾸지 않는 것보다 나쁜 유일한 선택이다. 무언가 한 것 같은 기분을 주기 때문이다.
둘째, 정책을 움직일 수 있는 사람에게. 논거를 지어낼 필요가 없다. SP 800-63B에 있다. NIST의 공식 지침이고, 비밀번호의 주기적 변경을 요구해서는 안 되며 침해의 정황이 있을 때는 변경을 강제해야 한다고 명시돼 있다. 오늘도 구십 일 규칙을 유지하는 곳은, 그것을 펴낸 바로 그 기관이 몇 년 전에 대체한 문서를 따르고 있는 셈이다.
짧은 답, 다시 한번
비밀번호는 얼마나 자주 바꿔야 하나? 무슨 일이 생겼을 때.
그리고 「무슨 일이 생겼을 때」는 생겼다는 사실을 알아야만 작동하므로, 긴 답은 이렇다. 모든 비밀번호를 길고, 서로 다르고, 감시받는 상태로 두라. 그러면 하나를 바꿔야 하는 날 당신은 그것을 알게 되고, 대상은 하나뿐이며, 2분이면 끝난다.
나머지는 안심하려고 달력에 칸 하나를 표시하는 일일 뿐이다.
출처: NIST SP 800-63「Electronic Authentication Guideline」(2003), 구성 규칙과 주기적 변경이 등장하는 문서 · NIST SP 800-63B「Digital Identity Guidelines: Authentication and Lifecycle Management」(2017): 복잡성보다 길이, 임의의 주기적 변경 없음, 침해 정황이 있을 때의 강제 변경, 유출된 비밀번호 목록과의 대조 · 2003년 지침의 저자 빌 버가 2017년 8월 월스트리트 저널에 한 발언.
사진: Hatice Baran · Pexels