거짓 확신 없이 비밀번호 후보 검토하기

문제 상황

비밀번호 검토는 서로 반대되는 두 방식으로 자주 실패합니다. 단순 측정기는 대문자, 숫자, 기호에 가점을 주기 때문에 꾸민 흔한 비밀번호를 강하다고 표시합니다. 더 나은 패턴 모델은 이 오류를 줄이지만 최고 점수를 안전 증명으로 받아들이면 다른 거짓 확신이 생깁니다. 어떤 클라이언트 측 추정기도 모든 유출 비밀번호, 개인정보, 언어별 단어, 공격자 사전, 검증자 해시 비용, 온라인 속도 제한, 복구 경로, 피싱 경로, 브라우저 확장 프로그램, 재사용 계정을 알 수 없습니다. 실제 자격 증명을 페이지에 붙여 넣거나 스크린샷·원격 측정·지원 티켓에 복사하면 검사 자체가 노출을 만들기도 합니다. NIST SP 800-63B-4는 검증자에게 길이 규칙, 흔하거나 유출된 값의 차단 목록, 비밀번호 관리자와 붙여넣기 허용, 속도 제한, 보호된 채널, 적절한 솔트 해싱을 요구하고 문자 조합 규칙과 임의의 주기 변경에는 의존하지 말라고 합니다. 따라서 유용한 검토에는 명확한 질문, 비밀값을 제외한 테스트 경계, 신뢰할 수 있는 로컬 환경, 전체 값 분석, 보수적인 해석, 별도의 유출·계정 통제 확인, 비밀번호가 없는 판단 기록이 필요합니다. 이 절차도 비밀번호를 피싱 저항 인증으로 바꾸지는 못하므로 최종 계정 판단에는 MFA나 패스키가 포함되어야 합니다.

공식 출처와 표준

다음 공식 문서는 이 작업 흐름에서 다루는 형식과 보안 경계의 기준입니다. 도구별 실행 검증은 위에 별도로 기록합니다.

• NIST SP 800-63B-4: Authentication and Authenticator Management

  National Institute of Standards and Technology

이럴 때 사용하세요

• 새로 생성한 비밀번호나 패스프레이즈를 서비스에 제출하기 전에 빠르게 패턴을 검토할 때
• 제품 팀이 고객 자격 증명을 노출하거나 문자 조합 점수를 채택하지 않고 비밀번호 측정기 피드백을 평가할 때
• 흔한 단어, 날짜, 반복, 연속 문자열, 키보드 패턴을 합성 예시로 설명하는 보안 교육을 만들 때
• 후보가 잘못 거부되거나 과대평가됐다는 지원 제보를 명백한 합성 값으로 재현할 수 있을 때
• 클라이언트 피드백과 서버 차단 목록, 속도 제한, MFA, 복구, 비밀번호 저장 통제의 관계를 문서화할 때

단계

1. 1단계

   검토의 판단 대상과 한계를 정의합니다

   새 후보를 거부할지, 사용자 인터페이스 문구를 시험할지, 서비스 정책을 확인할지 명시합니다. 비밀번호가 안전함을 증명하는 작업이라고 표현하지 마세요. 계정 종류, 비밀번호가 단일 요소인지 MFA 일부인지, 목적지가 지원하는 길이, 최종 판단 소유자를 기록하되 비밀값은 기록하지 않습니다.

2. 2단계

   새 후보 또는 합성 후보만 사용합니다

   아직 자격 증명이 되지 않은 값을 우선 사용합니다. 교육, 지원, 스크린샷, 자동 테스트에는 어떤 계정에도 배정하지 않을 명백한 합성 예시를 사용하세요. 기존 금융·관리자·이메일·복구·비밀번호 관리자 마스터 자격 증명은 다른 페이지에 붙여 넣지 말고 신뢰하는 관리자나 목적지 서비스에서 검토합니다.

3. 3단계

   통제된 브라우저 세션을 준비합니다

   직접 관리하는 최신 기기를 사용하고 출처를 확인하며 화면 공유와 녹화를 끄고 설치된 브라우저 확장 프로그램의 권한을 고려합니다. 시각 확인이 꼭 필요하지 않다면 입력란을 가린 상태로 둡니다. 클립보드 기록, 공유 기기, 원격 지원 세션, 값이 보이는 스크린샷을 피하세요.

4. 4단계

   정규화하지 않은 전체 값을 분석합니다

   의도한 공백과 Unicode를 포함한 정확한 후보를 입력하고 로컬 분석을 실행합니다. 검사 전에 앞뒤를 자르거나 대소문자를 바꾸거나 기호를 치환하거나 조용히 길이를 줄이지 마세요. 목적지가 정규화하거나 더 낮은 최대 길이를 적용한다면 검사기는 받은 값을 평가할 뿐이므로 해당 동작을 별도로 시험합니다.

5. 5단계

   대표 점수보다 패턴을 먼저 해석합니다

   흔한 비밀번호, 사전, 키보드, 반복, 연속 문자열, 날짜 탐지부터 확인합니다. 0~4 점수와 10^n 추측 규모는 한 모델의 대략적인 결과이지 보편적인 해독 시간이 아닙니다. 낮은 결과는 후보를 거부하기에 충분하지만 높은 결과도 알려지지 않은 개인정보, 언어별 단어, 유출 값이 누락될 수 있으므로 조건부 판단일 뿐입니다.

6. 6단계

   측정기가 할 수 없는 통제를 별도로 실행합니다

   서비스가 전체 값을 받는지, 상황에 맞는 NIST 길이 규칙, 서버 측 흔하거나 유출된 비밀번호 차단 목록, 보호된 전송, 솔트 비밀번호 해싱, 속도 제한을 적용하는지 확인합니다. 비밀번호 관리자에서 고유성을 확인하고, 목적지의 승인된 유출 모니터링을 사용하며, MFA나 패스키를 켜고 복구와 세션 취소 경로를 검토합니다. 원문 비밀번호를 승인되지 않은 유출 API로 보내지 마세요.

7. 7단계

   판단하고 정리한 뒤 비밀이 아닌 근거만 남깁니다

   약한 패턴이 나오면 거부하고 재생성합니다. 추정이 양호하고 별도 통제를 모두 충족하면 한 계정에 한해 조건부 채택하며 목적지 정책이 불명확하면 담당자에게 확인합니다. 입력란, 임시 클립보드, 스크린샷을 지웁니다. 도구 버전, 모델 결과 범주, 길이 기준, 패턴 범주, 목적지 정책 결과, MFA 상태, 판단, 검토자, 시각만 기록하세요.

예시

합성 후보: 공개된 흔한 단어 뒤에 예측 가능한 연도와 기호를 붙인 값, 단일 요소 서비스는 15~64자를 요구

판단: 거부 후 재생성, 근거에는 낮은 패턴 추정·흔한 단어 탐지·길이 결과만 기록하고 원문 후보는 남기지 않음

흔한 실수

자주 묻는 질문