비밀번호 해킹 시간 얼마나 걸릴까?

비밀번호 자리수와 문자 및 숫자 구성에 따라 해커들이 비밀번호를 해킹하는데에 걸리는 시간은 얼마나 걸릴까요? 비밀번호 뚫리는 시간이 2년 전에 비해 얼마나 단축되었을까요?

 

2022년 기준으로 해커들이 무차별 대입공격(Brute Force) 방식을 통해 비밀번호를 알아내는데에 걸리는 시간은 얼마나 되는지, 나의 비밀번호는 안전한지 궁금하지 않으신지요?

 

무차별 대입공격이란 비밀번호 암호를 풀어내기 위해 특별한 고급 해킹 기술을 활용하는 것이 아닌, 무차별적인 숫자와 문자를 대입하여 일치하는 값을 알아내는 기법입니다.

 

 

예를 들어 4자리의 숫자를 비밀번호를 무차별대입공격방식으로 해킹을 시도한다면 아무리 많아도 최대 9999번의 시도 안에 비밀번호를 알아낼 수 있습니다. 사실 무차별 대입공격 방식은 개인 정보가 유출된 것도 아니고.. 아무리 높은 보안 수준을 취한다 하더라도 결국에는 뚫릴 수 밖에 없는 방법입니다. 결국 매우 성능이 좋은 컴퓨터와 상당한 시간이 주어진다면 결국 뚫릴 수 밖에 없다는 의미입니다.

 

컴퓨터의 성능과 속도는 급속도로 향상되고 있기 때문에 이러한 무차별 대입공격에 대비하여 비밀번호를 지키는 방법은 비밀번호를 최대한 길게 그리고 숫자와 문자 그리고 특수문자를 섞어서 구성하는 방법밖에는 없습니다. 이렇게 하여 가능한 비밀번호를 알아내는데에 걸리는 시간이 오래걸리도록 하는 것이지요..

 

그럼 하이브 시스템(Hive ssystems) 사이트에서 공개한 2022년 무차별 대입공격으로부터 비밀번호를 알아내는데에 걸리는 시간(Time it takes a Hacker to brute force your password in 2022)에 대해 알아보겠습니다.

 

 

비밀번호 형태에 따라 무차별 대입 방식으로

비밀번호가 뚫리는데 걸리는 시간

암호 자리수	숫자로만 구성	영어 소문자로만 구성	대문자와 소문자가 섞여있는 경우	숫자, 대문자, 소문자가 포함된 경우	숫자, 대문자, 소문자, 특수문자 가 포함된 경우
4	즉시	즉시	즉시	즉시	즉시
5	즉시	즉시	즉시	즉시	즉시
6	즉시	즉시	즉시	즉시	즉시
7	즉시	즉시	2초	7초	31초
8	즉시	즉시	2분	7분	39분
9	즉시	10초	1시간	7시간	2일
10	즉시	4분	3일	3주	5개월
11	즉시	2시간	5개월	3년	34년
12	2초	2일	24년	200년	3,000년
13	19초	2개월	1,000년	12,000년	202,000년
14	3분	4년	64,000년	750,000년	1,600만년
15	32분	100년	3백만년	4,600만년	10억년
16	5시간	3,000년	173백만년	30억년	920억년
17	2일	69,000년	90억년	1,790억년	7조년
18	3주	2백만년	4,670억년	11조년	438조년

 

본인이 자주 사용하는 비밀번호는 어디에 해당하나요?

저 같은 경우는 아주 안전한다고는 볼 수 없지만.. 아직은 뚫리는데까지 수십년 이상이 걸린다고 나오고 있습니다.^^

 

일단 숫자, 영문자, 특수문자 어떤 문자로 구성하더라도 6자리 이하의 비밀번호는 즉시 탈취된다고 합니다. 그만큼 컴퓨터 성능이 많이 발전한 것이겠지요?

 

숫자로만 구성된 비밀번호의 경우는 무려 18자리로 비밀번호를 구성한다고 하더라도 3주 이내면 알아낼 수 있다고 합니다. 18자리로 구성하는 사람도 별로 없을테고, 11자리 이하로만 구성되어도 숫자 비밀번호는 즉시 뚫린다고 하니, 숫자만을 비밀번호를 사용하는 것은 지양해야겠습니다.

 

요즘 가장 많이 사용되는 비밀번호 구간은 8~10자리 정도로 보여지고 있는데요. 특수문자를 섞어 쓰지 않는 경우, 10자리의 비밀번호도 3주 이내에 탈취될 수 있을 정도로 취약합니다. 분명 수년전만 하더라도 안전하다고 여겨지는 비밀번호였는데, 벌써 이렇게까지 격차가 좁혀졌습니다. 10자리 숫자, 영문 대소문자, 특수문자를 섞어 사용한 비밀번호가 2년전만 하더라도 해킹하는데에 5년이 걸렸다고 하는데.. 2년만에 5개월로 줄어들었다고 합니다.

 

 

 

최근의 많은 (대부분의) 주요 사이트들은 이러한 무차별대입공격에 대해서 어느정도 방어를 하고 있습니다. 일정 횟수 이상 비밀번호를 잘못 입력한 경우, 캡차 이미지 텍스트를 입력하도록 요구한다던지, 일정 시간 동안 재 로그인을 하지 못하도록 막기도 합니다. 또한 지정된 지역이 아닌 외국에서 들어오는 접속 시도라던지, 기존에 사용하던 스마트폰이 아닌 다른 스마트폰으로 로그인 하는 경우에도 의심적인 접속으로 판단하여 이를 차단하고, 사용자에게 알려줍니다.

 

그렇기 때문에 위의 시간 정보는 어떤한 제약 사항도 없는 보통의 환경에서 해커에 의해 비밀번호가 뚫리는 시간을 측정한 것이므로, 요즘의 인터넷 환경에서는 이보다 더 오래걸리거나 불가능할 수도 있습니다. 하지만 여전히 이러한 개인 정보 관리에 취약한 사이트들도 존재하고 있고, 또 안전을 위해서 어느 정도 대비하는 것은 나쁘지 않을 것 같습니다. 가능한 본인이 인지하고 빠르게 기억할 수 있는 수준에서 비밀번호는 길고, 특수문자와 문자, 숫자 등을 섞어 쓰는 것을 권장합니다.

 

요즘은 이런 비밀번호 입력 인증 방식 보다는 페이스북ID나 인증서 인증 등을 많이 활용하고 있고, 또 머지 않아 또 다른 혁신적인 형태의 인증 시스템이 등장할 것이라고 하니, 지켜봐야 할 것 같습니다.

 

 

 

출처 : https://www.hivesystems.io/

Hive Systems: Cybersecurity that's approachable.