여러분도 한때 비밀번호를 그냥 "password"로 설정해 본 적이 있나요? 아직도 많은 사람들이 이런 터무니없이 취약한 방식을 사용하고 있지만, 소박한 비밀번호 역시 끊임없이 진화해 왔습니다.
이제 우리는 어디에서든 패스코드(passcode)나 패스프레이즈(passphrase)를 사용합니다. 온라인 뱅킹, 게임 계정, 각종 기기를 잠금 해제하는 데 모두 활용되죠.
그러나 일부에서는 이마저도 불필요해졌으며, 더 우월한 인증 방식으로 대체되었다고 주장합니다. 하지만 여기서는 왜 패스코드와 패스프레이즈를 고수해야 하는지 그 이유를 알려드리겠습니다.
패스코드란 무엇일까?
대부분의 사람들은 스마트폰, 이메일, 각종 앱과 서비스에 패스코드나 패스프레이즈를 사용합니다. 이는 문자와 숫자로 이루어진 문자열로, 일반적인 비밀번호보다 긴 형태입니다. 예를 들어 비밀번호가 MakeUseOf라면, 패스코드는 M@k3U$£0f2006!처럼 변형될 수 있습니다.
"MakeUseOf"는 쉽게 추측할 수 있습니다. 하지만 대부분의 모음을 숫자로 바꾸고, 해당 사이트가 출시된 연도를 추가한 뒤 문장부호로 마무리하면 훨씬 알아맞히기 어려워집니다.
아마도 우리가 가장 자주 사용하는 중요한 패스코드는 Wi-Fi 접속용일 것입니다. 처음에는 숫자와 영문 대소문자로 구성된 문자열이지만, 변경할 경우 반드시 의미 있는 패스코드로 바꿔야 합니다. 반려견 이름으로 설정하는 일은 없어야겠죠.
다른 인증 방식에는 어떤 문제가 있을까?
해커에 맞서기 위해 기업들은 다양한 인증 수단을 도입하거나 시험하고 있습니다. 하지만 완벽한 보안은 존재하지 않습니다. 여전히 패스코드가 가장 강력합니다.
PIN(개인식별번호)
우리는 개인식별번호(PIN)에 크게 의존합니다. 카드 결제 시 비접촉식 결제를 사용하지 않는다면 네 자리 숫자 코드를 입력해야 하고, 많은 사람들이 스마트폰 잠금 해제에도 PIN을 사용합니다. 꽤 안전해 보입니다. 0부터 9까지의 숫자로 만들 수 있는 네 자리 조합은 무려 10,000가지이며, 숫자를 반복하지 않는 여섯 자리 코드만 해도 136,080가지의 조합이 존재하기 때문입니다.
누군가 여러분의 PIN을 맞힐 확률은 희박해 보이지만, 생각만큼 천문학적으로 낮지는 않습니다. 특히 PIN이 1234처럼 흔히 쓰이는 코드라면 더욱 그렇습니다. 해커는 평균적인 사람의 행동을 충분히 예측할 수 있습니다.
생년월일은 사이버 범죄자들이 가장 먼저 파악하려는 정보이며, 다크웹에서는 더 많은 기본 정보도 쉽게 구할 수 있습니다. 사람들은 외우기 쉽다는 이유로 결혼기념일, 스물한 살이 된 해의 연도, 부모나 자녀의 생일 등을 PIN으로 설정하기도 합니다.
더 유력한 위협은 무차별 대입 공격(brute force attack)입니다. 간단히 말해, 이는 다자리 숫자 체계를 체계적으로 하나씩 시도하는 프로그램입니다. 0001부터 시작해 0002, 0003 순서로 매우 빠르게 진행됩니다.
일반 비밀번호
비밀번호를 남이 추측하기 어려운 것으로 설정하면 안전하다고 생각할 수 있습니다. 외국어 단어, 애완동물 이름, 좋아하는 노래 제목 같은 것 말이죠. 정말 그럴까요?
비밀번호는 패턴 잠금보다는 낫지만, 해커가 여러분에 대해 충분한 정보를 확보하면 교육적 추측을 통해 사용할 만한 단어를 좁혀갈 수 있습니다. 어떻게요? 여러분의 개인정보를 구매하거나 블로그와 소셜 미디어를 샅샅이 뒤지면 됩니다. Digital Shadow가 페이스북 프로필을 분석해 잠재적 비밀번호를 도출하는 과정을 살펴보면 실감할 수 있습니다.
더 무서운 것은 무차별 대입 공격의 변형인 사전 공격(dictionary attack)입니다. 동일한 원리로 작동하지만 문자열을 추가로 시도하며, 첫 시도부터 해커들이 가장 유력한 비밀번호로 지목한 단어들을 집중적으로 시도합니다. 즉시 성공하지 못하면 단어 끝에 연도를 붙여 시도하기도 합니다.
여러 계정에 동일한 비밀번호를 사용한다면 상황은 더욱 악화됩니다.
아무래도 이메일 비밀번호가 가장 중요합니다. 누군가 이메일에 접근하면 다른 모든 계정을 훑어본 뒤 "비밀번호 찾기"를 클릭해 재설정할 수 있기 때문입니다. 따라서 이메일 주소에는 반드시 고유한 비밀번호를 사용해야 합니다. Wired의 맷 호넌(Mat Honan)은 이렇게 말했습니다.
"온라인 비밀번호는 어떻게 무너질까? 상상할 수 있는 모든 방식으로다. 추측당하고, 비밀번호 덤프에서 유출되고, 무차별 대입으로 깨지고, 키로거로 도난당하고, 아니면 회사 고객지원팀을 속여 통째로 초기화된다."
지문
Touch ID는 기기를 보호하는 영리한 방법처럼 보입니다. 애플은 2013년 아이폰 5S에 처음 도입했고, 2014년에는 아이패드에도 적용했으며, 많은 이들이 이를 탁월한 새로운 보안 장치로 여겼습니다. 지문은 개인마다 고유하니까요. 다른 사람이 여러분의 지문을 복제하는 것은 불가능해 보였습니다.
하지만 가능합니다. 당연히 가능하죠.
우리는 지방 성분의 지문 잔여물을 어디든 남깁니다. 물론 기기 위에도 묻어 있겠죠. 문제는 그것이 완전하고 '사용 가능한' 지문인지는 확실치 않다는 점입니다. 그래서 영리한 도둑이라면 PIN을 사용하는 폰보다 Touch ID 폰을 잠금 해제하는 게 더 쉽다고 여길 수도 있습니다.
이러한 인식은 보안 프로토콜을 우회하는 방법을 발견한 기술 전문가들 덕분에 널리 퍼졌습니다. 가장 두드러진 사례는 이런 결함을 폭로하는 데 헌신하는 해커 그룹 카오스 컴퓨터 클럽(Chaos Computer Club, CCC)입니다. 이들은 지문의 고해상도 이미지를 확보한 뒤, 잉크를 듬뿍 묻혀 투명 필름에 좌우 반전으로 출력하고, 거기에 목공용 흰색 풀을 발라 지문을 재현해냈습니다.
이후 이 방법은 은 도체 잉크를 활용해 더욱 정교하게 발전했습니다.
게다가 생체 인식 기술 자체도 마모됩니다. 아이폰을 예로 들면, CMOS(상보성 금속 산화물 반도체) 스캐너를 사용하는데 손상되기 쉽습니다. 실제로 먼지 하나만으로도 영향을 받습니다. 땀이 많은 손이라면 폰이 여러분을 인식하지 못할 수도 있고, 기기가 손상될 수도 있습니다. CMOS의 수명은 매우 짧은데, 아마도 애플 입장에서는 반가운 일이겠죠. 폰이 낡았다는 신호로 받아들이고 새 제품을 구매하게 만들 테니까요.
좋습니다, 이것 자체가 보안 위험은 아닙니다. 하지만 그 무용성을 보여주는 사례입니다. Touch ID가 실패하면 결국 패스코드로 돌아가야 합니다. 그럼에도 우리는 인정합니다. 일반인에게는 지문이 충분히 안전할 수 있습니다. 다만 법 집행 기관이 기기 잠금 해제를 요구할 가능성이 걱정된다면 이야기가 달라집니다.
패스코드를 더욱 안전하게 만드는 방법
패스프레이즈는 특히 유용합니다. 문장을 각 단어의 첫 글자만으로 줄이는 방식이죠. 좋아하는 노래 제목, 명언, 책이 있다면 활용해 보세요. 예를 들어 레이 브래드베리(Ray Bradbury)의 『태양의 황금 사과(The Golden Apples of the Sun)』를 사랑한다면, 이는 TGAOTS가 됩니다. 여기에 저자 이니셜 RB를 끝에 붙일 수 있고, "O"를 숫자 0으로 바꿀 수도 있습니다. 브래드베리 열광팬이라면 출간 연도인 1953년까지 추가할 수 있겠죠.
결국 패스프레이즈는 TGA0TSRB1953이 됩니다. 옆에서 보는 사람에게는 완전한 외계어처럼 보이고 추측하기 어렵지만, 두문자어의 의미를 아는 여러분에게는 기억하기 쉽습니다.
문장부호도 섞어 보세요. 대부분 느낌표를 고르는데, 조금 더 생소한 기호를 사용하는 건 어떨까요? "S"는 "$"로 쉽게 바꿀 수 있고, 백슬래시(\)는 아무도 사용하지 않으니 언제든 좋은 선택지가 됩니다.
대소문자를 섞되, 단순히 첫 글자만 대문자로 하고 나머지는 소문자로 하는 식은 피하세요. 좋아하는 작가가 있다면 두 책 제목을 결합해 보세요. 『화씨 451(Fahrenheit 451)』을 활용한다면 "F451"을 구절에 추가하면 됩니다.
네 자리 숫자(예: 연도)를 사용한다면, 나머지 비밀번호를 두 자리 숫자로 감싸는 것도 좋은 방법입니다. 결과는 이렇게 됩니다.
19tGa0t$f451\53
마지막으로, 다양한 웹사이트에서 패스코드의 강도를 직접 테스트해 볼 수 있습니다.
여러분만의 팁이 있다면 무엇인가요? 어떤 인증 방식이 가장 안전하다고 생각하시나요? 아래 댓글로 알려주세요.
이미지 출처: Aranami의 핀 패드, Automobile Italia의 폭스바겐 비밀번호, Kevin Dooley의 지문.