인터넷 사이트 회원가입을 하거나 로그인 중에 다음과 같은 안내 메시지를 다들 보신 적 있으실 거예요. ‘비밀번호는 알파벳 대·소문자, 숫자, 특수문자를 포함하여 8자 이상’,‘비밀번호 변경한지 3개월 경과’. 사이트마다 요구하는 조건도 다르고 매번 다른 비밀번호로 변경하려니, 귀찮기도 하지만 소중한 개인정보를 위한 일이라고 생각하고 열심히 따르긴 했는데 정말 이렇게 하면 안전한 걸까요?
비밀번호에 관한 흥미로운 리서치도 있어요. 2019-2021년도 기준 세계에서 가장 많이 쓰이는 비밀번호에 대해서 조사한 결과, ‘password’가 1위를 차지했다고 해요. 그 외에도 ‘123456’, ‘123456789’, ‘qwerty’처럼 비교적 단순하고 쉬운 비밀번호가 상위에 올랐다니, 왜 비밀번호를 어렵게 설정하라고 하는지 알 것 같기도 하고요.
그렇다면 패스워드를 어렵고 복잡하게 할수록 보안에 도움이 될까요? 미국의 월스트리트저널에서는 "다수 사이버 보안 전문가가 까다로운 패스워드 생성 조건은 사용자의 보안 수준에 도움이 되지 않는다"라고 발표했어요. 그런 이유는 많은 사용자들이 최초 비밀번호 생성 시, 이미 타 사이트에서 사용하고 있는 비밀번호를 사용하는 경향이 있기 때문이라네요. 또 주기적으로 비밀번호를 변경하라는 안내를 받으면 기존의 비밀번호에서 문자 한두개 변경하거나 추가하는 방법을 쓰기 때문에 결과적으로 해커들이 유추하기 쉽다고 하네요. 보통 해커들은 패스워드를 추측할 때 이미 유출된 패스워드 목록을 참고하여 패스워드를 무작위로 대입하는 방식으로 접근한다는데, 이 목록은 다크웹에서 손쉽게 구할 수 있어요. 또 요즘은 AI를 트레이닝 시켜 유출된 패스워드 목록과 이메일, 사용자 이름을 조합하도록 하기도 한다네요. 이러니 까다로운 비밀번호가 보안에는 별 도움이 안 된다는 말이 이해가 가네요.
몇 해 전부터 이런 패스워드의 한계를 보완하기 위해 ‘패스워드리스’ 로그인을 많이 도입하는 것 같아요. 패스워드 없이 로그인을 한다, 조금은 생소한 것 같기도 하지만 일상생활에서 알게 모르게 많이 접하고 있는 개념이에요.
가장 많이 알고 계시는 패스워드리스 로그인 방식은 아마 생체 인증 아닐까 해요. 안면인식이나, 지문으로 로그인이 가능하여 가장 편한 로그인 방식인 것 같은데, 본인의 정보가 미리 단말기에 저장이 되어 있어야 하기 때문에 다른 기기에서는 사용이 불가하다는 단점이 있어요.
링크를 통한 방식도 있어요. 메일로 url을 발송하면 로그인이 되는 거죠. 특히 매직 링크 같은 경우는, 일회성 링크로 대표적으로 슬랙에서 이 방법을 채택하고 있어요. 저 링크 하나면 별다른 절차 없이 바로 로그인이 가능하지만, 메일 서비스로 들어가서 클릭을 해야 하는 번거로움이 있어요. 그 외에도 SNS와 연동하여 로그인하기, QR코드로 로그인하기 등등 여러 패스워드리스 로그인 방법이 있으나 여러 사유로 아직은 기존의 로그인 방식을 유지하는 분들이 많은 것 같아요.
그래도 계속해서 노력하는 보안 관계자분들로 인해 패스워드리스는 앞으로 일상생활에서 더욱더 많은 부분을 차지하게 될 것 같아요. 머지않은 미래에 ‘예전에는 비밀번호도 대·소문자, 숫자, 특수문자 조합해서 만들어야만 했어’라고 말할 수 있는 날이 오길 바랄게요.
<관련기사>
