"인간, 복잡한 비밀번호 여럿 외울 능력 없다"

[김익현기자] “비밀번호 여러 개 쓰지 마라. 사람들은 여러 개 비밀 번호 외울 능력이 없다.”

마이크로소프트(MS) 연구원들이 은행 같은 중요한 사이트에 사용한 복잡한 비밀번호를 쉽게 기억하기 위해 보통 사이트엔 같은 비밀번호를 재활용할 것을 권장했다고 판도데일리가 16일(현지 시간) 보도했다.

MS 연구원 두 명은 캐나다 칼턴대학 교수와 함께 ‘비밀번호 포트폴리오와 유한 노력 이용자(Password Portfolio and Finite-Effort User)’란 논문을 공동 기고했다.

곰곰 따져보면 너무나 당연한 이 연구는 지극히 평범한 문제의식에서 출발했다. 비밀번호를 효과적으로 관리하기 위해선 크게 세 가지 요소를 고려해야만 한다는 것. 즉 ▲현실적인 공격 가능성과 함께 ▲(공격으로 인한) 피해와 ▲비밀번호 관리 노력을 최소화하는 데 초점이 맞춰져야 한다는 것이다.

그런데 사람들은 비밀번호 외우는 능력이 지극히 부족하다. 연구자들은 시트콤에 등장하는 남편들이 기념일을 외우는 것만큼이나 일반 사람들이 비밀번호 외우는 것이 서툴다고 주장한다.

따라서 이런 점을 감안하면 비밀번호를 재활용하는 방법을 권장할 만하다는 것이다. 하지만 여기서도 문제가 제기된다. 이럴 경우 자칫하면 대형 피해로 이어질 수 있기 때문이다.

여기서 또 다른 전략이 나온다. 비밀번호를 재활용할 사이트를 신중하게 골라야 한다는 것. 따라서 정말 중요한 사이트만 골치 아픈 비밀 번호를 사용하고 나머지 사이트는 쉬운 비밀 번호를 재활용하라고 연구자들은 권고했다.

판도데일리가 전하는 MS 연구원들의 결론은 단순 명쾌하다.

“보통 수준 비밀번호를 여러 개 사이트에 동시 사용하는 게 바보처럼 보인다고? 물론 그럴 수 있다. 하지만 보통 수준의 인터넷 이용자들이 복잡한 비밀 번호 여러 개를 외울 것이라고 기대하는 건 더 바보같은 생각이다. 그러니 사이트를 이원화하라. 그런 다음 중요하지 않은 사이트 비밀번호는 하나로 통일해버려라.”