한국 인터넷 뱅킹은 오랫동안 공인인증서(현재는 공동인증서)와 액티브X 기반 보안 프로그램에 의존해 왔고, 비밀번호는 그 인증서를 잠그는 부수적인 장치에 가까웠다. 2020년 전자서명법 개정으로 공인인증서의 법적 독점 지위가 사라지면서 비밀번호·생체인증·OTP 등 다양한 인증 수단이 동등하게 취급되기 시작했고, 그제서야 비밀번호 자체의 강도가 다시 주목받게 됐다.
비밀번호 엔트로피란 무엇인가
엔트로피는 비트 단위로 측정되며 문자 집합의 크기와 비밀번호 길이에 따라 달라집니다: 엔트로피 = log2(문자집합크기 ^ 길이). 문자 집합이 작더라도(예: 소문자만) 더 긴 비밀번호가 복잡한 문자 집합을 가진 짧은 비밀번호보다 엔트로피가 높을 수 있습니다.
한글 입력기와 비밀번호 오류의 관계
한글 입력기(IME)가 켜진 상태로 영문 비밀번호를 입력하면 자음과 모음이 조합되어 전혀 다른 문자가 만들어지는 일이 흔하다. 예를 들어 영문 "know"를 한글 자판 그대로 입력하면 완전히 다른 한글 낱말이 되는 식이다. 이런 이유로 비밀번호 입력 필드에서는 입력 전 반드시 한/영 전환 상태를 확인하는 습관이 한국어 사용자에게 특히 중요하다.
그런데도 생성기가 문자 유형을 섞는 이유
많은 시스템이 숫자, 대문자, 특수 기호를 필수로 요구합니다 — 이것이 항상 실제 엔트로피를 높이지는 않지만, 가장 단순한 사전 공격과 아직도 흔한 오래된 정책으로부터는 보호해줍니다. 좋은 비밀번호 생성기는 목표로 하는 엔트로피 수준에 맞춰 길이와 문자 다양성의 균형을 맞춥니다.
왜 필요한가
- 사람의 기억력에 의존하지 않고 새 계정을 위한 강력한 비밀번호 생성하기.
- "숫자와 기호를 최소 하나씩" 요구하는 것이 가장 중요한 보안 요소가 아닌 이유 이해하기.
- 기존 비밀번호가 무차별 대입에 실제로 얼마나 견딜 수 있는지 추정하기.
패스프레이즈와 무작위 문자 비교
사전에서 고른 몇 개의 무작위 단어로 만든 패스프레이즈(예: "correct-horse-battery-staple")는 특수문자를 포함한 짧은 비밀번호보다 엔트로피가 높으면서도 사람이 훨씬 기억하기 쉬울 수 있습니다. 비밀번호 관리자에 저장되어 수동으로 입력할 일이 없는 비밀번호라면 이는 중요하지 않습니다 — 무작위 문자가 문자당 더 높은 엔트로피를 제공합니다. 하지만 직접 기억해야 하는 비밀번호 관리자 자체의 "마스터 비밀번호"라면 패스프레이즈가 흔히 더 실용적인 선택입니다.