블로그
비밀번호와 보안, 그리고 우리가 배운 것 대부분이 틀렸던 이유에 관한 글.
패스키: 존재하지 않는 비밀번호
수십 년 동안 우리는 비밀번호를 더 알아맞히기 어렵게 만들려고 애썼다. 패스키는 다른 일을 한다. 서버가 보관해야 했던 비밀 자체를 치워 버린다. 사이트에는 훔쳐 가도 아무 쓸모 없는 공개 키만 남고, 피싱은 작동을 멈춘다. 물론 전부를 고치지는 못한다.
보안 질문은 당신이 고르지 않은 비밀번호다
보안 질문은 결함이 셋인 비밀번호다. 당신이 고르지 않았고, 남들이 맞힐 수 있고, 대개 어딘가 공개된 문서에 적혀 있다. 2015년 구글이 실제 데이터로 측정했더니 결과는 양쪽에서 참혹했다. 맞히기도 쉽고, 잊어버리기도 쉽다. 자신을 지키겠다고 거짓말한 사람은 결국 자기 계정에 못 들어간다.
2FA: SMS는 왜 좋은 것들 중 최악인가
SMS 2FA를 켜는 것은 오늘 당신이 내릴 수 있는 가장 좋은 결정 중 하나이자, 가장 먼저 다시 검토해야 할 결정이다. 약점은 암호화에도, 당신 휴대폰에도 없다. 통신사에서 전화를 받는 사람에게 있다. SMS에서 보안 키까지, 계단 전체를 정리했다.
비밀번호가 유출되면 실제로 무슨 일이 벌어지나
비밀번호는 유출되고 사라지는 게 아니다. 유출되고 나서 돌아다니기 시작한다. 느긋하게 크래킹되고, 다른 목록과 대조되고, 결국 누군가가 당신의 은행 로그인 창에 넣어보는 콤보 리스트에 들어간다. 그 비밀번호를 값나가게 만든 건 약해서가 아니다. 같은 것이었기 때문이다.
해시, 솔트, bcrypt, Argon2: 제대로 만든 사이트는 당신의 비밀번호로 무엇을 하는가
로그인이 통과될 때마다 누군가는 무언가를 확인한다. 하지만 확인하는 것과 아는 것은 다르다. 비밀번호를 저장하지 않는 법을 배워온 역사, 그리고 그것을 지키는 함수가 왜 일부러 느리고 비싸야 하는지에 대하여.
당신의 비밀번호가 정말로 깨지는 데 걸리는 시간
「300만 년」을 약속하는 사이트들은 방정식의 절반을 숨기고 있습니다. 똑같은 비밀번호가 어느 사이트에서는 오후 한나절에 무너지고 어느 사이트에서는 수백 년을 버팁니다. 당신이 고르지도 않았고 아무도 가르쳐주지 않는 변수 하나 때문에요. 그 숫자 뒤에 있는 이야기입니다.