2017년, 전 세계가 따르던 비밀번호 규칙을 쓴 남자가 월스트리트저널에 사과했다.
빌 버(Bill Burr)는 2003년 현대의 비밀번호 의식을 만든 NIST 지침을 썼다. 대문자 하나, 숫자 하나, 특수문자 하나, 그리고 90일마다 변경. 20년간 “Password1!”이 “Password2!”가 된 건 그 문서 때문이다. 돌아본 버의 평가는 이랬다. “내가 한 일의 상당 부분을 이제 후회한다.”
후회할 만했고, 흥미로운 건 NIST도 동의했다는 점이다. 그들은 2017년에 그 규칙들을 뜯어냈다. 그리고 2025년 7월, 후속 표준 SP 800-63B-4를 확정하며 단절을 더 깔끔하게 만들었다. 그러면 뻔한 질문이 남는다. 표준이 옛 규칙의 정반대를 말한 지 8년이 됐는데, 왜 모든 회사 로그인 화면은 아직도 특수문자를 요구하고 90일 뒤 만료로 협박하는가?
2003년 규칙이 실제로 한 일
복잡도와 주기적 변경 체제는 도움이 안 된 정도가 아니다. 비밀번호를 적극적으로 더 나쁘게 만들었고, 그것도 헬프데스크를 해본 사람이라면 외워서 읊을 수 있는 예측 가능한 방식으로 그랬다.
특수문자와 숫자를 강제하면 사람들은 엔트로피를 만들지 않는다 — 단어에 1!을 붙인다. 90일마다 변경을 강제하면 Summer2024!가 Summer2025!가 되고 Autumn2025!가 된다. 변경은 새 비밀을 만들지 않았다. 수열을 만들었다. 더 나쁜 건, 1년에 네 번 강제로 바뀌는 비밀번호는 포스트잇에 적는 비밀번호라는 것이다. 움직이는 표적은 외울 수 없으니까.
규칙은 화이트보드 위의 이론적 엔트로피를 최적화하고 현실에서 예측 가능성을 얻었다. 그리고 한 세대의 사용자에게 보안을 임의의 세금처럼 경험하도록 훈련시켰다 — 이후 모든 진짜 보안 요청을 더 먹히기 어렵게 만든 교훈이었다.
800-63B-4가 실제로 말하는 것
2025년 문서를 읽으면 거의 정확히 2003년의 역이다. 비밀번호 검증자에 대한 요구사항을, 쉬운 말로:
- 복잡도 규칙 없음. 검증자는 “다른 구성 규칙을 부과해선 안 된다(SHALL NOT)” — 문자 종류 혼합 강제 금지. 길이가 일을 한다.
- 주기적 만료 없음. 비밀번호를 일정에 따라 강제로 돌리면 안 된다. 유출된 증거가 있을 때 바꾸는 것이지, 달력이 넘어가서 바꾸는 게 아니다.
- 유출 목록과 대조. 비밀번호를 설정·변경할 때 검증자는 “흔히 쓰이거나, 예상되거나, 유출된” 값의 차단 목록과 대조해야 한다 — 그것도 조각이 아니라 전체 비밀번호를. 실제로 판도를 바꾸는 요구사항이 이것이다.
- 보안 질문 없음. 지식 기반 인증 — 어머니 결혼 전 성, 첫 반려동물 — 은 퇴출. 그건 애초에 비밀이 아니었다. 공공 기록과 소셜 미디어다.
- 비밀번호 힌트 금지 — 인증되지 않은 방문자가 가져갈 수 있는 것.
- 긴 비밀번호와 붙여넣기 허용. 최소 64자를 지원하고, 잘라내지 말고, 비밀번호 관리자의 붙여넣기를 막지 마라. “보안을 위해” 붙여넣기를 막는 건 늘 거꾸로였다.
철학이 사용자에게 엔트로피를 만들게 하라에서 공격자가 이미 아는 비밀번호를 걸러내라로 바뀌었다. 유출 덤프에 한 번도 등장하지 않은 40자 패스프레이즈가 Xq7! 복잡도 연극보다 더 가치 있고, 이제 표준이 그걸 대놓고 말한다.
아무도 준비 안 된 15자 이야기
요약들이 슬쩍 넘어가는 대목이 여기다. 확정본은 초기 초안이 하지 않은 방식으로 길이 하한을 조였다.
800-63B-4는 검증자가 “단일 요소 인증 수단으로 쓰이는 비밀번호를 최소 15자로 요구해야 한다(SHALL)“고 말한다. 15자. 비밀번호가 유일한 방어선이라면 8자는 더 이상 기준을 통과하지 못한다. MFA 안에서 순수하게 한 요소로만 쓰이는 비밀번호는 더 짧아도 되지만, 그것조차 최소 8자여야 한다.
15자는 정책 필드의 미세 조정이 아니다. 20년간 8자 비밀번호를 쳐온 모든 사용자의 근육 기억을 부수고, 업계 전체를 조용히 패스프레이즈 쪽으로 민다. 아무도 무작위 15자 문자열을 머릿속에 담지 않을 테니까. 장담하건대 대부분의 조직은 게으른 방식으로 “준수”할 것이다 — MFA를 덧붙여 8자 비밀번호를 2요소 중 하나로 만들어 합법 상태로 유지하는 것. 눈을 가늘게 뜨고 보면, 그게 바로 NIST가 원한 결과다. 비밀번호 하나에만 기대는 걸 멈춰라.
왜 행동은 안 바뀌었나
표준은 2017년부터 “강제 변경 금지”라고 말해왔다. 은행도, 회사도, 아이 학교 포털도 대부분 그 메모를 못 받았다. 지침과 로그인 화면 사이의 간극이 여기서 이야기의 전부인데, 멍청해서가 아니다 — 구조를 가진 관성이다.
정책은 문서의 하류 수십 군데에 산다. 2011년에 누군가 설정한 액티브 디렉터리 그룹 정책의 기본값이다. 다시 쓰이지 않은 감사자 체크리스트의 한 줄이다. 규정 준수 체제 — PCI DSS는 완화하기 전까지 수년간 90일 변경을 규범으로 못박았다 — 를 기업은 글자 그대로 따른다. 감사에서 떨어지면 돈이 들고, 낡았지만 승인된 규칙을 따르면 안 들기 때문이다. 기성 제품의 벤더 기본값이다. 표준을 바꾸는 건 한 위원회의 결정이다. 옛 표준을 물려받은 모든 하류 산출물을 바꾸는 건 아무도 배정받지 않은 천 개의 작고 볼품없는 수정이다.
그래서 규칙은 확정된 채 무시되며 놓여 있고, 사용자는 Winter2026!을 계속 돌리며 조용히 그걸 미워한다.
이 사가가 진짜로 말하는 것
교훈은 “NIST가 틀렸고 이제 맞다”가 아니다. 애초에 규칙이 보안이었던 적이 없다는 것이다.
20년간 우리는 사용자에게 복잡도를 수행시키고 그걸 보호라 불렀다. 모든 구성 규칙을 합친 것보다 더 많은 일을 하는 단 하나의 변화 — 새 비밀번호를 이미 유출 덤프에 쌓여 있는 수십억 개와 대조하는 것 — 은 비교적 최근까지 대규모로 강제하는 게 가능하지도 않았고, 2025년 문서의 조용한 핵심이다. 사용자에게 굴레를 씌워서가 아니라, 공격자가 실제로 신경 쓰는 일을 하기 때문이다. 그들이 이미 가진 비밀번호를 거부한다.
인증 시스템을 운영한다면 할 일은 볼품없고 명확하다. 구성 요건을 버려라. 강제 변경을 멈춰라. 최소 길이를 올리고 사람들을 패스프레이즈로 이끌어라. 모든 새 비밀번호를 유출 목록과 대조하라. 보안 질문을 죽여라. 지금 하는 것보다 일이 적고, 마침내 표준이 말하는 그대로다.
규칙은 확정됐다. 남은 건 2017년부터 답을 말해온 문서를 나머지 우리가 따라잡는 것뿐이다.