01DEFINITION
한 줄로 말하면
짧은 비밀번호를 허용하고 이전 것을 다시 쓰게 두면, 다른 사이트에서 유출된 조합이 그대로 통합니다. 복잡도를 요구하는 것보다 길이를 요구하는 편이 실제로 효과가 크고, 관리자 계정에는 두 번째 인증 수단이 따로 있어야 합니다.
02RISK
없으면 무슨 일이 생기나
오늘 계정을 뚫는 방식의 대부분은 추측이 아니라 대입입니다. 다른 사이트에서 유출된 아이디와 비밀번호 조합을 그대로 넣어 보는 것이고, 사람들이 같은 조합을 여러 곳에 쓰기 때문에 성공률이 낮지 않습니다. 이 공격 앞에서 복잡도 규칙은 무력합니다. 유출된 비밀번호가 이미 대문자와 특수문자를 포함하고 있기 때문입니다.
주기적 변경 요구는 역효과가 알려져 있습니다. 석 달마다 바꾸게 하면 사람들은 끝의 숫자만 하나씩 올리거나 계절 이름을 넣습니다. 결과적으로 예측 가능한 규칙이 생기고, 기억하기 어려우니 적어 두게 됩니다. 그래서 지금의 권고는 유출 정황이 있을 때만 변경을 요구하는 쪽입니다.
관리자 계정은 다른 이야기입니다. 아무리 긴 비밀번호라도 그 한 줄이 새면 끝이므로 두 번째 인증 수단이 필요합니다. 이 항목이 실패로 나오는 사이트의 상당수는 일반 이용자 정책은 손봤는데 관리자 로그인에는 아무 추가 장치가 없는 상태입니다.
03CHECK IT YOURSELF
직접 확인하는 방법
아래는 저희를 거치지 않고 지금 해 보실 수 있는 방법입니다. 결과를 저희에게 보내실 필요도 없습니다.
-
01
짧은 비밀번호가 통과하는지 봅니다
시험 계정으로 여덟 자 미만을 넣어 보십시오. 받아들이면 정책이 없거나 느슨한 것입니다. 회원가입뿐 아니라 비밀번호 변경 화면에서도 확인해야 합니다 — 두 곳의 규칙이 다른 구현이 흔합니다.
나머지 확인 방법 2단계는 셀프수리 가이드에 있습니다.
04HOW TO FIX
고치는 방법
서버 환경에 따라 적을 자리가 다릅니다. 아래는 가장 흔한 구성 기준이고, 적용 전에 현재 설정을 백업하십시오.
여덟 자보다 열두 자가 훨씬 낫고, 문구 형태를 허용하면 기억하기도 쉽습니다. 공백과 모든 문자를 허용하고 상한을 지나치게 낮게 두지 마십시오. 복잡도 요구를 줄이는 대신 길이를 늘리는 것이 지금의 방향입니다.
가이드 안내 보기 · 먼저 무료로 진단받기
이미 열람권을 구매하셨다면 안내 메일의 가이드 링크로 바로 열립니다 — 링크를 잃으셨다면 문의 주시면 다시 보내 드립니다.
05FAQ
자주 묻는 질문
특수문자를 강제하지 말라는 것이 맞나요
- 강제하지 않는 편이 낫다는 것이 최근 권고입니다. 강제하면 사람들은 규칙을 만족시키는 최소한의 변형을 쓰고 그 변형이 예측 가능합니다. 대신 길이를 늘리고 유출 목록과 대조하는 쪽이 실제 공격을 더 많이 막습니다.
주기적으로 바꾸게 하는 것이 정말 나쁜가요
- 유출 정황이 없는데 정기적으로 바꾸게 하는 것은 권고에서 빠졌습니다. 사람들이 규칙적으로 변형하기 때문입니다. 다만 유출이 확인되었거나 공유 계정을 쓰던 사람이 퇴사한 경우에는 즉시 변경이 맞습니다.
유출 목록 대조는 비밀번호를 외부에 보내는 것 아닌가요
- 해시의 앞 몇 글자만 보내는 방식을 쓰면 원문도 전체 해시도 나가지 않습니다. 서버가 그 앞자리로 시작하는 후보 목록을 돌려주고 비교는 우리 쪽에서 합니다. 그래도 마음에 걸린다면 목록 파일을 내려받아 내부에서 대조하는 방법도 있습니다.
로그인 시도 제한도 이 항목인가요
- 별개 항목이지만 같이 봐야 실효가 있습니다. 아무리 좋은 정책이어도 무제한으로 시도할 수 있으면 대입 공격이 성립합니다. 실패 횟수 제한과 지연을 함께 두는 것이 정석입니다.
GET STARTED
내 사이트는
이 항목을 통과할까요
주소만 넣으시면 이 항목을 포함해 58가지를 판정해 점수와 실패 개수를 보여 드립니다. 로그인도, 소유 확인도 필요 없습니다 — 전부 밖에서 관찰만 하는 항목이기 때문입니다.