비밀번호를 외우려 애쓰는 것부터가 문제였습니다

비밀번호를 외우려 애쓰는 것부터가 문제인 이유: 외우면 돌려쓰고, 돌려쓰면 함께 열린다
▲ 비밀번호를 외우려 애쓰는 것부터가 문제인 이유: 외우면 돌려쓰고, 돌려쓰면 함께 열린다
✔ 공식·기술 문서 8곳 확인✔ 직접 만든 그림 8장 + 움직이는 그림✔ 도구 5종✔ 광고·협찬 없음⏱ 약 13분
ANSWER FIRST · 비밀번호를 외우려 애쓰는 것, 정말 문제일까
네, 문제입니다. 비밀번호를 외우려 애쓰면 짧고 비슷한 비밀번호를 여러 곳에 돌려쓰게 되고, 한 곳이 새면 나머지가 함께 열리기 때문입니다.
한국인터넷진흥원 연구진 논문의 설문에서 65%는 이전과 비슷하게 바꾸고, 43%는 사이트마다 다르게 쓰지 않습니다. 해법은 기억력이 아니라 외울 것을 1개로 줄이고, 그 하나만 15자 이상으로, 정기 변경은 0회로 두는 것입니다(CISA·NIST).
TITLE VISUAL · 외우려 애쓰는 비밀번호 수와 함께 열리는 계정, 직접 바꿔 보기
🧠
TOOL 01 · INTERACTIVE
외우려 애쓰는 비밀번호 계산기
계정 수와 외우는 비밀번호 수를 넣고 방식을 바꿔 보세요. 칸을 누르면 그곳이 샐 때 함께 열리는 계정이 보입니다.
방식
외우려 애쓸 비밀번호
-
한 곳이 새면 함께 열리는 계정(최대)
-
사이트마다 다른 계정
-
계산 방식(가정): 외우는 비밀번호를 계정에 고르게 돌려씀, 최대 묶음 = 계정 수 ÷ 외우는 수(올림). 관리자는 비밀번호 하나만 기억(CISA), 패스키는 서버에 공개 열쇠만(Apple). 넣은 숫자는 이 브라우저에만 저장되며 어디에도 보내지 않습니다.

비밀번호 요령을 찾아보면 대부분 “외우기 쉽게 만드는 법”을 알려 줍니다. 하지만 계정은 수십 개인데 사람이 외울 수 있는 비밀번호는 몇 개뿐입니다. 출발점이 잘못된 셈입니다.

NIST 2025년 기준, CISA 안내, FIDO·애플·구글의 패스키 문서, 한국인터넷진흥원 연구진 논문을 직접 열어 확인했습니다. 밑줄 친 용어는 누르면 뜻이 나옵니다.

CHAPTER 01

외우려 하면 왜 돌려쓰게 될까요

제목의 답에 보태는 것 · 외우려 애쓰는 것이 문제인 첫 번째 이유: 기억에 맞추다 보면 비밀번호가 비슷해지고 겹칩니다.

한국인터넷진흥원 연구진이 2021년 정보보호학회지에 실은 「안전한 패스워드 생성 및 이용 지침」에는 이용자 설문이 함께 실려 있습니다. 비밀번호를 바꿀 때 이전과 비슷하게 바꾼다는 답이 65%, 사이트마다 다른 비밀번호를 쓴다는 답은 57%였습니다. 거꾸로 말하면 43%는 사이트마다 다르게 쓰지 않습니다.

외우려 애쓴 결과: 비슷하게 바꾸고(65%), 사이트마다 다르게 쓰지 않는다(43%)
▲ 외우려 애쓴 결과: 비슷하게 바꾸고(65%), 사이트마다 다르게 쓰지 않는다(43%)

같은 논문은 쓰면 안 되는 비밀번호로 같은 문자 반복, 키보드 연속 배열, 생일·전화번호, 사전 단어, 맨 앞·뒤 숫자를 꼽습니다. 모두 외우기 쉬우라고 만든 모양입니다. 기억하기 좋은 틀은 남도 짐작하기 좋습니다.

수첩에 무언가를 적고 있는 손
수첩에 무언가를 적고 있는 손 (참고 이미지)
여기서만 보는 정리

외울 것은 1개, 그 하나는 15자 이상, 정기 변경은 0회

제목의 답에 보태는 것 · 흩어진 공식 숫자를 묶으면 “외우는 노력을 어디에 써야 하는지”가 한 줄로 나옵니다.
1
외울 것 1개 (CISA)
CISA의 한국어 「비밀번호 팁 시트」는 비밀번호 관리자가 비밀번호를 생성·저장·입력해 주므로 “비밀번호 관리자 자체의 강력한 비밀번호 하나만 기억하면 됩니다”라고 적습니다.
2
그 하나는 15자 이상 (NIST)
NIST SP 800-63B-4 §3.1.1.2는 비밀번호 하나만으로 로그인하는 경우 최소 15자, 다른 인증 수단과 함께 쓰는 경우 최소 8자를 요구합니다. 최대 길이는 64자 이상 허용해야 합니다.
3
정기 변경 0회 (NIST)
같은 조항은 주기적 변경을 요구하지 말라(SHALL NOT)고 적습니다. 대신 유출 증거가 있으면 바꾸게 합니다.
4
왜 길이인가: 계산
무작위로 고른다면 영문 소문자만 쓴 15자는 26¹⁵ ≈ 1.68 × 10²¹가지, 키보드 문자 94종을 섞은 10자는 94¹⁰ ≈ 5.39 × 10¹⁹가지입니다. 1.68 ÷ 0.0539 ≈ 31배. 기호를 외우려 애쓰는 것보다 다섯 글자 더 길게 쓰는 쪽이 경우의 수가 큽니다.
“
외우는 노력은 개수가 아니라 길이에 씁니다.
외울 것은 하나, 그 하나는 15자 이상.
외울 것 1개·15자·변경 0회: 소문자 15자의 경우의 수는 기호를 섞은 10자의 약 31배
▲ 외울 것 1개·15자·변경 0회: 소문자 15자의 경우의 수는 기호를 섞은 10자의 약 31배

이 글은 이것을 “1개·15자·0회” 기준으로 씁니다. 외우는 비밀번호가 둘 이상이면 줄이고, 15자보다 짧으면 늘리고, 달력 대신 유출 알림을 보고 바꿉니다. 경우의 수는 공격 시간이 아니며, 사람이 고른 비밀번호는 실제로 훨씬 적습니다.

CHAPTER 03

외우려고 돌려쓴 비밀번호 하나가 새면 생기는 일

제목의 답에 보태는 것 · 외우려 애쓰는 것이 문제인 두 번째 이유: 피해가 한 사이트에서 끝나지 않습니다.

구글 코리아 블로그(2022)는 같은 비밀번호를 재사용하지 말라며, 한 비밀번호를 알아낸 사람이 메일·주소·은행 계좌 정보까지 닿을 수 있다고 설명합니다. 아무리 조심해도 같은 비밀번호를 쓴 다른 사이트가 털리면 소용없습니다.

ANIMATION
외우려고 돌려쓴 비밀번호 하나가 새면 생기는 일
같은 비밀번호를 돌려쓸 때쇼핑몰 Alove1234유출메일love1234열림은행love1234열림SNSlove1234열림🔑한 곳이 새면 4곳이 함께 열림사이트마다 다를 때(관리자 생성)쇼핑몰 Ak7…Qz유출메일mR…2w✕ 막힘은행Tq…9e✕ 막힘SNSvB…4h✕ 막힘🔑한 곳이 새도 그곳만
원리 설명용 움직이는 그림입니다(사이트 이름·비밀번호는 예시). 근거: Google 코리아 블로그, CISA · 그림: 초이찜 테크노트

도구 01에서 칸을 눌러 보면 같은 색 칸이 함께 빨개집니다. 외우는 비밀번호 3개, 계정 20개면 한 묶음에 최대 7개입니다. 관리자로 바꾸면 1이 됩니다.

자물쇠 여러 개가 달린 문
자물쇠 여러 개가 달린 문 (참고 이미지)
CHAPTER 04

외우기를 어렵게 만든 규칙은 이미 바뀌었습니다

제목의 답에 보태는 것 · “섞어라, 자주 바꿔라”는 외우는 부담만 키웠고, 2025년 NIST 기준은 이를 하지 말라고 정리했습니다.

NIST SP 800-63B-4(2025년 7월)는 서비스의 비밀번호 기준을 바꿨습니다. 다른 종류의 문자를 섞으라는 규칙을 두지 않는다(SHALL NOT), 주기적 변경을 요구하지 않는다(SHALL NOT), 힌트와 지식 기반 질문을 쓰지 않는다(SHALL NOT). 대신 새 비밀번호를 흔한 비밀번호·유출된 비밀번호 블록리스트와 대조하라고 의무로 정했습니다.

외우기를 어렵게 만든 옛 규칙과 2025년 NIST 기준: 섞기·정기 변경·힌트는 하지 말 것, 길이·블록리스트는 할 것
▲ 외우기를 어렵게 만든 옛 규칙과 2025년 NIST 기준: 섞기·정기 변경·힌트는 하지 말 것, 길이·블록리스트는 할 것

연구진 논문은 NIST·영국 NCSC의 지적을 소개합니다. 복잡한 규칙은 예측되는 형태로 단순하게 만들게 하고, 정기 변경은 이점 없이 부담만 가중시킨다는 것입니다. 외우려 애쓰게 하는 규칙이 비밀번호를 약하게 만든 셈입니다.

ℹ️ NIST 기준은 “서비스가 지킬 기준”입니다
사이트가 아직 특수문자나 정기 변경을 요구하면 따라야 합니다. 관리자 생성 기능으로 맞추면 외우려 애쓸 필요는 없습니다.
CHAPTER 05

외우려 만든 비밀번호에는 흔적이 남습니다

제목의 답에 보태는 것 · 내 비밀번호가 “외우려고 만든 모양”인지 직접 확인하는 장입니다.

‘쓰면 안 되는 비밀번호’ 유형은 외우려고 만들 때 생기는 흔적입니다. 끝에 붙인 숫자, 연도, 키보드 줄, o를 0으로 바꾼 단어 같은 것들입니다.

🔍
TOOL 02 · INTERACTIVE
외우려 만든 흔적 점검기
비밀번호(또는 예시)를 넣으면 길이·문자 종류·‘외우려 만든 흔적’을 이 화면 안에서만 찾습니다.
🔒
입력한 글자는 이 화면 밖으로 나가지 않습니다. 서버로 보내지 않고 기기에도 저장하지 않으며, 리포트에는 길이와 흔적 개수만 남습니다. 실제 비밀번호 대신 같은 방식의 예시를 넣어도 됩니다.
예시로 시험해 보기
0자8자(2단계 인증과 함께)15자(하나만 쓸 때)25자
길이
-
문자 종류
-
무작위였다면 경우의 수
-
외우려 만든 흔적
-
기준: 길이 15자·8자(NIST SP 800-63B-4). 흔적은 한국인터넷진흥원 연구진 논문의 ‘쓰면 안 되는 비밀번호’ 유형을 따랐습니다. 경우의 수는 무작위로 골랐을 때의 값이라 사람이 만든 비밀번호에는 크게 나오며, 공격 시간 추정이 아닙니다.
🔒 이 점검기는 무엇을 하지 않나요
입력값을 서버로 보내지 않고(네트워크 요청 없음) 기기에도 저장하지 않으며, 화면을 떠나면 비웁니다. 리포트에는 길이와 흔적 개수만 갑니다. 흔적 0개도 안전 보증은 아닙니다. 유출 목록과 대조하지 않기 때문입니다.
노트북 옆에 붙어 있는 메모지
노트북 옆에 붙어 있는 메모지 (참고 이미지)
CHAPTER 06

비밀번호 관리자: 외울 것을 하나로 줄이는 도구

제목의 답에 보태는 것 · 외우려 애쓰는 대신 맡기는 방법 ①: 기억은 기기가, 사람은 하나만.

비밀번호 관리자는 사이트마다 다른 긴 비밀번호를 만들어 저장하고 대신 채워 줍니다. CISA는 관리자가 생성·저장·입력을 맡으니 하나만 기억하라고 하고, NIST는 서비스가 관리자와 자동 채움을 허용해야 한다(SHALL)고 정했습니다. 구글 안내도 관리자 사용을 권합니다.

네 가지 방식 비교: 돌려쓰기·메모지·관리자·패스키의 외울 것, 함께 열리는 범위, 피싱
▲ 네 가지 방식 비교: 돌려쓰기·메모지·관리자·패스키의 외울 것, 함께 열리는 범위, 피싱

“한곳에 몰아넣으면 더 위험하지 않나”는 맞는 걱정입니다. 관리자 비밀번호가 모든 문의 열쇠가 되니까요. 그래서 그 하나에 기준을 그대로 씁니다. 15자 이상, 다른 곳에 쓰지 않기, 2단계 인증. 외우는 노력을 하나에 모으는 것이 핵심입니다.

CHAPTER 07

패스키: 외울 것이 아예 없는 로그인

제목의 답에 보태는 것 · 외우려 애쓰는 대신 맡기는 방법 ②: 외울 비밀번호도, 가짜 사이트에 넘겨줄 비밀번호도 없습니다.

Android 개발자 문서는 패스키를 비밀번호를 대체하는 더 안전하고 사용자 친화적인 방법으로, 지문·얼굴·PIN 같은 기기 잠금 해제로 로그인하게 해 준다고 설명합니다. 비밀번호를 기억할 필요가 없다는 점도 적혀 있습니다. 구글은 2023년 10월 구글 계정에 패스키를 기본 옵션으로 두며 비밀번호보다 40% 빠르게 로그인한다고 밝혔습니다(구글 수치).

패스키는 외울 것도, 서버에서 샐 비밀도 없다: 비밀 열쇠는 기기에, 서버에는 공개 열쇠만
▲ 패스키는 외울 것도, 서버에서 샐 비밀도 없다: 비밀 열쇠는 기기에, 서버에는 공개 열쇠만

원리는 공개 열쇠 한 쌍입니다. 애플 「About the security of passkeys」에 따르면 공개 열쇠는 서버에 있고 비밀이 아니며, 서버는 비밀 열쇠를 모릅니다. FIDO는 패스키가 사이트마다 고유하고 피싱에 강하며 생체 정보는 기기에 머문다고 적습니다. NIST는 WebAuthn이 검증하는 쪽 이름에 묶여 피싱에 저항하는 반면 “비밀번호는 피싱 저항성이 없다”고 적습니다.

🎣
TOOL 03 · INTERACTIVE
외운 비밀번호 vs 패스키: 가짜 사이트 시뮬레이터
주소와 로그인 방식을 골라 보세요. 외운 비밀번호는 가짜 사이트에도 넘어가고, 패스키는 주소가 다르면 쓰이지 않습니다.
① 접속한 주소 (예시 주소)
② 로그인 방식
근거: NIST SP 800-63B-4 §3.1·§3.2.5, FIDO Alliance, Apple. 주소는 실제 회사가 아닌 예시용(.example)이며, 실제 화면은 기기·브라우저마다 다릅니다.
CHAPTER 08

외울 단 하나는 이렇게 만들고 지킵니다

제목의 답에 보태는 것 · 외우려 애쓸 곳이 하나 남는다면, 그 하나에만 노력을 몰아 씁니다.

CISA 팁 시트는 무작위로 만드는 방법 두 가지를 듭니다. 문자·숫자·기호를 섞은 무작위 문자열, 그리고 관련 없는 단어 5~7개로 기억에 남는 문구를 만드는 방법입니다. 손으로 쳐야 하는 관리자 비밀번호라면 두 번째가 현실적입니다. 길이는 CISA 16자, NIST 15자 이상입니다.

COMPARE
외울 단 하나: 기호를 외우는 10자보다 단어를 잇는 문장이 길고 덜 헷갈린다
외우려 규칙을 맞춘 비밀번호(예시)
P@ssw0rd25
10자 · 사전 단어 + 문자 치환 + 끝 숫자: ‘쓰면 안 되는’ 유형 셋
관련 없는 단어를 이은 문장(예시, 그대로 쓰지 마세요)
maple river pencil cloud tiger
30자(공백 포함) · CISA의 ‘관련 없는 단어 5~7개’ 방식
막대 = 25자를 꽉 찬 것으로 본 길이 비교. 근거: CISA 「비밀번호 팁 시트(한국어)」, NIST SP 800-63B-4, 박해룡 외(정보보호학회지, 2021) · 그림: 초이찜 테크노트
1
관련 없는 단어를 고른다
가사·속담·가족 이름처럼 나와 이어지는 말은 피합니다. 논문이 꼽은 개인 정보·사전 문구 유형입니다.
2
어디에도 다시 쓰지 않는다
외울 단 하나는 관리자(또는 연결된 계정)에만 씁니다.
3
2단계 인증을 켠다
구글 안내도 2단계 인증으로 추가 보호를 권합니다.
4
잊었을 때의 길을 미리 만든다
복구 코드·신뢰할 수 있는 기기 같은 복구 수단을 미리 확인합니다.
CHAPTER 09

이 계정, 외울까 맡길까: 10초 결정도

제목의 답에 보태는 것 · 질문 두 개로 “외우려 애쓸 비밀번호”와 “외우지 않아도 될 비밀번호”를 가릅니다.
이 계정, 외울까 맡길까: 다른 비밀번호를 지키는 하나만 외우고, 나머지는 패스키나 관리자로
▲ 이 계정, 외울까 맡길까: 다른 비밀번호를 지키는 하나만 외우고, 나머지는 패스키나 관리자로

대부분의 계정은 오른쪽 아래 두 칸으로 갑니다. 외우는 칸은 하나뿐입니다.

CHAPTER 10

흔한 말 여섯 가지, 사실일까

제목의 답에 보태는 것 · 외우려 애쓰게 만드는 말들을 출처 기준으로 정리합니다.
절반만 사실
“특수문자를 꼭 섞어야 안전하다”
NIST는 섞기 규칙을 두지 말라고 정했습니다. 소문자 15자가 기호를 섞은 10자보다 경우의 수가 약 31배 큽니다.
사실 아님
“비밀번호는 90일마다 바꿔야 한다”
NIST는 주기적 변경 요구를 금지하고 유출 때만 바꾸게 합니다. 설문의 65%는 비슷하게 바꾼다고 답했습니다.
절반만 사실
“관리자에 몰아넣으면 더 위험하다”
그 하나가 중요해지는 것은 맞지만 CISA는 사용을 권하고 NIST는 허용을 의무로 정했습니다. 그 하나를 15자·2단계 인증으로 지킵니다.
사실 아님
“패스키는 내 지문을 서버로 보낸다”
생체 정보는 기기에 머물고 원격 서버로 보내지지 않습니다(FIDO).
절반만 사실
“기본 문장에 사이트 이름만 붙이면 사이트마다 다른 비밀번호다”
규칙이 하나라 한 곳에서 드러나면 나머지를 짐작할 실마리가 됩니다(설명용 판단). 논문도 아이디·이름 변형을 쓰지 말라고 적습니다.
절반만 사실
“긴 비밀번호는 외우기 더 어렵다”
무작위 문자열은 그렇지만, CISA는 단어 5~7개 문구를 기억에 남는 방식으로 제시하고 논문이 소개한 호주 ACSC도 긴 문장이 더 기억하기 쉽다고 봅니다.
CHAPTER 11

상황으로 바로 찾기

제목의 답에 보태는 것 · 내 상황에서 무엇을 외우고 무엇을 맡길지, 검색하거나 눌러서 펼쳐 보세요.
🏢 회사가 90일마다 비밀번호를 바꾸라고 해요
회사 규칙이 우선입니다. 관리자 생성 기능을 쓰면 바꿀 때마다 외우려 애쓰지 않아도 됩니다.
🔣 사이트가 특수문자를 꼭 넣으래요
관리자 생성 기능에서 기호 포함을 켜면 됩니다. 외우지 않으니 부담이 없습니다.
📒 부모님이 비밀번호를 수첩에 적어 두세요
집 밖으로 나가지 않는다면 돌려쓰기보다는 나을 수 있지만, 본 사람은 전부 압니다. 패스키가 되는 계정(구글 계정 등)부터 바꿔 외울 것을 줄여 보세요.
🚨 유출됐다는 알림을 받았어요
그 계정과, 같은 비밀번호를 썼던 곳을 모두 바로 바꿉니다. NIST가 말하는 “유출 증거가 있을 때”입니다.
📱 휴대폰을 잃어버리면 패스키는요?
패스키는 기기 간에 동기화할 수 있고(Android 개발자 문서), iCloud 키체인은 종단 간 암호화됩니다(Apple). 복구 수단을 미리 확인해 두세요.
❓ 가입할 때 ‘어릴 적 동네는?’ 같은 질문을 하래요
NIST는 이런 질문을 쓰지 않도록 정했습니다. 꼭 답해야 한다면 관리자에 저장한 무작위 답을 쓰는 방법이 있습니다.
🔁 외우는 비밀번호 하나에 숫자만 바꿔 써요
논문이 꼽은 ‘숫자를 맨 앞·뒤에’ 유형입니다. 도구 02로 확인하고 중요한 계정부터 관리자로 옮기세요.
⚠️ 이 글로 해결되지 않는 경우
관리자 비밀번호를 잊었고 복구 수단이 없다면 이 글로는 열 수 없습니다. 제품·계정 고객센터의 복구 절차를 따르세요. 모르는 로그인 알림처럼 계정이 넘어간 정황이 있으면 서비스 고객센터에, 금전 피해가 있으면 경찰청 사이버범죄 신고시스템이나 금융회사에 바로 알리세요.
CHAPTER 12

체크리스트와 내 비밀번호 외우기 부담 리포트

제목의 답에 보태는 것 · 도구에서 고른 값이 “내 경우, 외우려 애쓰는 비밀번호를 몇 개로 줄일 수 있는지” 한 줄로 모입니다.
✅
TOOL 04 · INTERACTIVE
외우는 비밀번호 줄이기 체크리스트
하나씩 눌러 체크하세요. 체크 여부만 이 기기에 저장되고 리포트에 반영됩니다.
진행률0 / 8
📋
TOOL 05 · INTERACTIVE
내 비밀번호 외우기 부담 리포트
도구 값이 모여 “내 경우, 외우려 애쓰는 비밀번호를 몇 개로 줄일 수 있는지” 한 장으로 정리됩니다.
리포트는 이 브라우저 안에서만 만들어지고 어디에도 보내지 않으며, 비밀번호 글자는 담기지 않습니다.
비밀번호를 외우려 애쓰는 대신: 한 장 요약(1개·15자·0회)
▲ 비밀번호를 외우려 애쓰는 대신: 한 장 요약(1개·15자·0회)
CHAPTER 13

자주 묻는 질문

제목의 답에 보태는 것 · 제목 질문 다음에 자주 이어지는 여섯 가지
Q1. 그래도 외우는 비밀번호가 하나는 꼭 있어야 하나요?
관리자를 열 열쇠 하나는 필요합니다. CISA도 그 하나는 기억하라고 합니다.
Q2. 15자는 너무 길지 않나요?
15자는 비밀번호 하나만으로 로그인할 때의 최소 길이이고, 2단계 인증과 함께면 8자입니다(NIST). 단어 몇 개면 금방 넘습니다.
Q3. 휴대폰 기본 관리자를 써도 되나요?
Android 개발자 문서는 구글 비밀번호 관리자를 예로 듭니다. 어떤 관리자든 그 하나를 15자·2단계 인증으로 지키는 원칙은 같습니다.
Q4. 패스키를 만들면 비밀번호는 지워지나요?
서비스마다 다릅니다. 구글은 2023년 발표에서 당분간 비밀번호도 쓸 수 있다고 밝혔습니다. 남은 비밀번호는 관리자 생성으로 바꿔 두세요.
Q5. 도구 02에 진짜 비밀번호를 넣어도 되나요?
전송·저장되지 않지만, 어떤 웹페이지든 실제 비밀번호를 넣는 습관은 권하지 않습니다. 같은 방식의 예시로도 결과는 같습니다.
Q6. 비밀번호를 종이에 적는 건 무조건 나쁜가요?
본 사람이 모두 알게 되고, 가짜 사이트에 입력하는 위험도 그대로입니다. 적어야 한다면 들고 다니지 말고 관리자로 옮기기 전 임시 수단으로만 쓰세요.
🔎 이 글에서 확인한 자료
본문의 안내와 숫자는 아래 문서를 직접 열어 확인한 내용입니다. 그림과 도구는 이 자료를 바탕으로 초이찜 테크노트가 직접 만들었으며, 도구의 결과는 비교용 추정치입니다. 마지막 확인: 2026년 10월.
1
미국 국립표준기술연구소(NIST) 「SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management」(2025.7)
§3.1.1.2: 단독 사용 시 최소 15자·다른 수단과 함께면 8자, 최대 64자 이상 허용, 섞기 규칙·주기적 변경·힌트·지식 기반 질문 금지, 블록리스트 대조 의무, 관리자·자동 채움 허용. §3.1: 비밀번호는 피싱 저항성 없음. §3.2.5: WebAuthn 이름 묶음. 원문 보기 ↗
2
NIST 컴퓨터보안자원센터(CSRC) 「SP 800-63B-4」 발행 정보
2025년 7월 최종본 발행, 2020년판을 대체. 원문 보기 ↗
3
미국 사이버보안·기반시설안보국(CISA) 「비밀번호 팁 시트(한국어)」(2023.9)
16자 이상, 무작위 문자열 또는 관련 없는 단어 5~7개 문구, 계정마다 다르게, 관리자를 쓰면 관리자 비밀번호 하나만 기억. 원문 보기 ↗
4
FIDO 얼라이언스 「FIDO2: Passkeys」
패스키는 앱·웹사이트마다 고유, 피싱 저항, 공유 비밀 없음, 생체 정보는 기기에 머물고 원격 서버로 보내지지 않음. 원문 보기 ↗
5
Apple 지원 「About the security of passkeys」
패스키는 비밀번호 대체, 공개 열쇠는 서버에 저장되며 비밀이 아님, 서버는 비밀 열쇠를 알지 못함, iCloud 키체인 종단 간 암호화. 원문 보기 ↗
6
Android Developers(Google) 「패스키」
기기 잠금 해제로 로그인, 비밀번호를 기억할 필요 없음, 공개 열쇠는 서버·비공개 열쇠는 기기의 인증 정보 제공자에, 기기 간 동기화. 원문 보기 ↗
7
Google 코리아 블로그 「비밀번호가 필요없는 일상! 패스키로 넘어오세요」(2023.10.11) · 「비밀번호 및 온라인 계정을 안전하게 보호하기 위한 팁」(2022.5.4)
구글 계정 패스키 기본 옵션, 비밀번호보다 40% 빠른 로그인(구글 수치). 재사용 금지, 관리자 사용, 2단계 인증. 원문 보기 ↗
8
박해룡·이영주·최은영·김종표(한국인터넷진흥원) 「안전한 패스워드 생성 및 이용 지침」, 정보보호학회지 31권 4호(2021.8)
이용자 설문(비슷하게 변경 65%, 사이트별 다른 비밀번호 57%, 변경 주기 필요 63%), 쓰면 안 되는 비밀번호 유형, NIST·NCSC·ACSC 지침 비교. 원문 보기 ↗
#비밀번호관리 #비밀번호외우기 #패스키 #비밀번호관리자 #NIST비밀번호 #비밀번호재사용 #2단계인증 #보안사기예방

댓글

이 블로그의 인기 게시물

휴대폰 사진을 클라우드에만 맡겨 두면 정말 안전한가요

충전 케이블이 다 같은 줄 알았는데 왜 어떤 건 느릴까요

공유기를 새로 사려는데 무엇부터 보고 골라야 하나요