비밀번호 안전하게 지키는 방법

https://www.0db.co.kr/FREE/4063749

이 글을 보고나니 생각나서 씁니다.

사이트 회원가입하실때 8자이상/특수문자 포함/영문대소문자 포함 다들 보신적 있으시죠?

저 조건을 맞추지 않으면 안전하지 못한 비밀번호라면서 가입을 못하게 하는것도 당해보셨을거고요.

비밀번호를 복잡하게 만들면 더 안전하다는 생각이 널리 퍼져있습니다. 하지만 이건 반은 맞고 반은 틀린말입니다.

해커들이 계정을 터는 방식은 크게 3가지로 나뉩니다.

- 해킹대상의 뒷조사를 한뒤 생년월일, 이름 이니셜등의 정보를 대입하거나 자주 쓰이는 비밀번호를 대입해보기.

- 어딘가에서 털린 비밀번호 목록을 다른 사이트에 대입하기.

- 해킹대상의 컴퓨터를 직접 털어먹기

비밀번호를 복잡하게 만들라는 규칙은 첫번째 방식만 막을수 있습니다. 하지만 첫번째 방식은 흔하지 않습니다. 일반인 한명의 계정을 털겠다고 그정도 정성을 쏟는 해커는 개인적인 원한을 사지 않는이상 없죠.

세번째 해킹은 당하면 막을 방법이 전무하기에 넘어갑니다.

제가 알려드릴 방법은 두번째 해킹 공격을 막는 방법입니다.

어느날 스트리밍사이트, 쇼핑몰 계정에 다른 기기(장소)에서 로그인 시도가 있었다는 메일을 받아보신적 한번쯤 있으실겁니다.

그런 메일을 받았다는것은, 여러분의 계정을 훔치기 위해 누군가 두번째 방법의 해킹 공격을 여러분의 계정에 시도한것입니다. 

이 경우, 해커는 아이디 뿐만이 아니라 비밀번호까지 맞게 입력했을 가능성도 있습니다. 그런데 이 아이디와 비밀번호는 어떻게 털렸을까요?

이걸 알기 위해선 해커들이 어떤 방식으로 비밀번호를 얻는지 알아야합니다. 

해커들은 먼저 보안이 약한 사이트를 찾습니다. 

그 보안이 약한 사이트를 터는데 성공하면, 해커들은 그 사이트에 가입된 아이디/비밀번호 목록을 얻습니다.

그렇게되면 그 사이트에 가입했던 사람들의 실제 아이디/비밀번호가 유출되는것이죠.

그렇게 유출한 비밀번호를 가지고, 해커들은 넷플릭스같은 스트리밍 서비스부터 돈과 직결된 페이팔이나 쇼핑몰등의 사이트에 유출 비밀번호들을 매크로 프로그램으로 싹 대입해봅니다.

그러다가 로그인이 성공한것들이 있으면 어둠의 경로에서 팔아먹던, 자기들이 써먹던 하는것이죠.

가입했던 한 사이트가 털렸을때 유출된 비밀번호를 다른곳에 대입해 로로그이 가능했다는건, 사이트별로 모두 같은 비밀번호를 사용했다는 것입니다.

이메일이나 아이디는 당연히 같은걸 사용하실수 있지만, 비밀번호는 그러시면 안됩니다.

위에서 말씀드린 공격에 매우 취약하기 때문입니다.

저 방식의 공격을 막는 방법은 간단합니다. 사이트별로 비밀번호를 한글자라도 다르게 설정하는것이죠.

해커들은 유출된 비밀번호 목록을 매크로를 사용해 한번씩만 대입하는데, 다른 경우의 수를 고려하지 않고 비밀번호가 한글자라도 달라 한번 로그인에 실패하면 버리고 넘어갑니다. 그 계정 하나를 버리더라도 나머지 수백 수천개의 비밀번호들이 있기 때문이죠.

여기서 비밀번호를 사이트별로 다르게 설정하면 어떻게 기억하냐는 생각이 드실수 있습니다. 

두가지 간단한 방법중 하나를 쓰면 됩니다.

첫번째는 사이트의 이름의 첫글자나 마지막글자를 비밀번호 끝이던 앞이던 붙이는겁니다.

예시로 사용할 비밀번호가 Password123! 이라고 치고, 사이트 a와 b에 가입한다고 해보겠습니다.

간단하게 사이트 이름의 첫글자를 붙여서 a 사이트에 가입할때 비밀번호는 Password123!a, b 사이트에서는 Password123!b 이렇게 붙입니다.

만약 a 사이트가 털려서 Password123!a가 유출되었다 해도, 이 비밀번호를 b 사이트에 대입하면 로그인할수 없기때문에 대다수의 해커들은 여러분의 계정에 추가적인 공격을 하지 않고 버리고 넘어갈것입다.

두번째 방법은 그냥 엄청나게 복잡한 랜덤 문자열을 비밀번호로 써버리고, 기억은 브라우저의 자동저장에 의존하는 것입니다.

그러면 사이트마다 전혀 연관성이 없는 복잡한 비밀번호가 입력될것이고, 당연하게도 한 사이트가 털렸을때 그 비밀번호를 다른 사이트에 써먹을수 없을것입니다.

(이 방법은 편하지만, 저장된 비밀번호를 분실했을때 타격이 엄청나니 백업을 꾸준히 하는게 중요합니다)

https://mnews.sbs.co.kr/news/endPage.do?newsId=N1005582150

이 인터뷰의 빌 버리는 사람의 이야기도 같은 맥락에서 나온것입니다. 비밀번호를 유추하기 어렵고 복잡하게 만드는건 특정 개인 한명을 노리는 흔하지 않은 해킹시도를 막는데 도움이 되지만, 가장 흔하게 당하는 유출 비밀번호 대입에는 무력하다는거죠.

또 자주 사용하는 사이트의 비밀번호를 주기적으로 바꾸는것도 도움이 됩니다. 비밀번호를 바꾸는것도 결국 비밀번호가 달라져서 대입이 불가능하게 되는 것이니까요.

+추가적으로 사용하시면 안되는 비밀번호도 있습니다.

구글에 rockyou.txt라고 검색하시면 github라는 사이트에서 140mb정도 용량의 텍스트 파일을 받으실수 있습니다. 그 파일의 정체는 사람들이 가장 많이 사용하는 비밀번호를 쭉 나열해놓은 것입니다.

그 텍스트를 메모장에서 열고, ctrl+f 찾기 기능을 사용해 본인이 쓰는 비밀번호를 검색해보세요. 만약 일치하는게 있다면, 그 비밀번호는 사용하지 않는것이 좋습니다.