유저에게 패스워드를 정기적으로 교체하도록 하는 시스템에는 문제가 있다 일반 H/W관련


by Yuri Samoilov

 인터넷 서비스를 이용하다 보면  「계정의 안전을 유지하기 위해 패스워드를 정기적으로 변경할 것을 권합니다」라는 주의사항이 나오곤 합니다만 제3자에 의한 패스워드의 노출 및 불법 로그인을 방지하려면 「유저로 하여금 정기적으로 패스워드를 변경시켜서는 안 된다」라고 영국의 정부통신본부가 밝혔습니다.  

The problems with forcing regular password expiry | CESG Site
https://www.cesg.gov.uk/articles/problems-forcing-regular-password-expiry

다양한 인터넷 서비스의 정보 보안 정책을 보면 공통적으로  「계정의 패스워드를 정기적으로 변경해야 한다」고 유저에게 권하는 사양을 볼 수 있습니다. 그러나 영국 정부통신본부의 정보통신 보안 부서인 CESG가 2015년에 발표한 패스워드 운용 가이던스는 정기적인 패스워드 변경을 명확히 반대했습니다. 

패스워드가 유출된 경우, 패스워드를 불법으로 입수한 제3자의 공격을 방지하려면 계정 소유자가 패스워드를 새로 갱신하고 이전의 패스워드를 무효화하는 것이 가장 좋은 방법임은 확실합니다. 그러나 패스워드 유출에 대비해서 시스템 측이 유저에게 여러 차례 강제로 패스워드를 변경하도록 하면 서비스의 편의성이 떨어집니다. 또한 대부분의 인터넷 서비스에서는 패스워드를 노출시키지 않게 하기 위해서 가능하면 길고 랜덤한 문자열을 설정해야 합니다. 어느 정도의 패스워드라면 어떻게 기억할 수 있지만, 모든 온라인 서비스에서 복잡한 패스워드를 설정해 놓고 수십 가지나 기억하기란 불가능합니다. 

대부분의 패스워드 정책은 유저에게 정기적이면서 강제로 패스워드를 변경하도록 하고 있는데 실제로 유저들은 새로운 패스워드를 잊지 않도록 이전 패스워드나 다른 서비스에서 사용 중인 패스워드와 비슷한 것을 사용하곤 합니다. 그 결과 해커가 유저의 이러한 특성을 악용하여 계정에 불법 접속할 가능성이 있습니다. 또한 유저가 새로운 패스워드를 어딘가에 적어놓으면 역시 공격자의 표적이 될 수 있습니다. 그 외에도 모처럼 새로운 패스워드를 설정했다 하더라도 패스워드를 잊어버리면 유저의 생산성이 떨어지고 나아가서는 서비스 제공자가 패스워드를 재발행해야 하므로 양자의 부담이 늘어나게 됩니다.  

by Perspecsys Photos

CESG는 위와 같은 이유에서 패스워드를 빈번히 변경하지 않는 편이 좋다고 주장하면서  「패스워드를 여러 번 변경할 수록 전체적인 취약성은 증가하며 공격당하기도 쉬워진다」라면서 패스워드를 변경할 경우의 위험성에 대해서 경고했습니다. 여러 차례 패스워드를 변경하면 새로운 패스워드를 잊지 않도록, 기억하기 쉬운 문자열을 설정하게 되고 따라서 패스워드의 강도가 점점 약화되곤 합니다. 

CESG는 「유저에게 정기적으로 패스워드를 변경할 것을 강제하지 않도록」기업이나 조직에게 제안합니다. CESG는 패스워드를 변경하지 않고 장기적으로 이용함으로써 패스워드 변경에 따른 취약성을 줄일 수 있다고  생각한다는 것이죠. CESG는 시스템 관리자에게 「제3자의 계정 접근을 방지하는 효과적인 시스템 보호 방법을 패스워드 이외의 방법으로 고안해야 한다」고 주장했습니다.  예를 들어 시스템 모니터링 툴을 사용하여 마지막에 로그인한 유저의 정보를 표시하도록 한다면  로그인을 실패했을 때의 원인이 유저 자신인지 공격자인지를 규명할 수 있습니다. 원인이 유저 본인이 아닌 경우 누군가가 계정에 액세스하려는 징후일지도 모른다는 것을 파악함으로써 유저에게 용이하게 경고할 수 있습니다. 

by Chris Amelung

CESG가 제안한 패스워드 운용 가이던스는 다음 PDF파일을 통해 자세히 확인할 수 있습니다. 

Password Guidance: Simplifying Your Approach | CESG Site
https://www.cesg.gov.uk/guidance/password-guidance-simplifying-your-approach

덧글

  • 엘릭시어 2016/05/02 09:57 # 삭제 답글

    국내에도 이런 논의가 절실한 거 같습니다. 가끔씩 해외 엑원 스토어 결제하려고 플록시 걸었다가 네이버 들어가면 해외 IP라고선 기존 패스워드를 강제로 변경케 하는데 여간 짜증나는 것이 아닙니다. 게다가 서버에 저장된 개인정보들을 본인들이 실수하여 유출되어놓고선 패스워드만 변경케하고 아무런 책임을 지지않는 현 상태도 논의가 필요할 거 같습니다.
  • 고라파덕 2016/05/02 09:58 # 답글

    맞는 말입니다.
  • 천하귀남 2016/05/02 10:43 # 답글

    패스워드 강제 변경을 하게 하면 결국 사이트 마다 패스워드를 다르게 해야해서 결국 기억만으로는 어렵게 되니 타당하다고 보이는군요.
    실제로 이 문제로 운영중인 회사 사이트에서 사용자 불편이 많이 접수중이긴 합니다.
  • 1 2016/05/02 21:59 # 삭제 답글

    패스워드 주기적으로 강제 변경 -> 사이트마다 패스워드가 다르다 -> 기억하기 어렵다 -> 따로 적어놓음 -> 응 훔쳐갈께~

    패스워드 특수문자 반드시 삽입해야함 -> 기억하기 어렵다 -> 따로 적어놓음 -> 응 훔쳐갈께~
댓글 입력 영역



통계 위젯 (블랙)

411690
6872
4160541

이 이글루를 링크한 사람 (블랙)

599