시스템 비밀번호 보안: 공격·방어 메커니즘 종합 분석

초록

**
본 논문은 시스템 비밀번호에 대한 대표적인 크래킹 기법(무차별, 사전, 레인보우 테이블)과 MD5·SHA‑256·bcrypt 등 해시 알고리즘의 취약성을 실험적으로 평가한다. 또한 솔팅, 느린 해시, 계정 잠금, 다중 인증, 위험 기반 적응 인증 등 방어 기술의 효과를 검증하고, 실무 적용을 위한 최적화 방안을 제시한다.

**

상세 분석

**
논문은 먼저 비밀번호 인증이 여전히 가장 보편적인 접근 제어 수단임을 강조하면서, 최근 GPU·ASIC 기반 고성능 크래킹 도구와 머신러닝을 활용한 사전 생성 기술이 급격히 발전하고 있음을 지적한다. 이를 바탕으로 무차별 공격, 사전 공격, 레인보우 테이블 공격의 원리와 적용 범위를 상세히 설명한다. 무차별 공격은 모든 가능한 문자 조합을 탐색하므로 이론적으로는 모든 비밀번호를 복구할 수 있지만, 비밀번호 복잡도가 높아질수록 시간 비용이 기하급수적으로 증가한다. 사전 공격은 사용자 습관을 반영한 사전과 변형 규칙을 활용해 탐색 공간을 크게 축소하며, 마코프 체인이나 확률 모델을 적용하면 실제 사용자 비밀번호에 대한 성공률이 크게 향상된다. 레인보우 테이블은 시간‑메모리 트레이드오프를 이용해 사전 계산된 체인을 저장함으로써 해시‑평문 매핑을 빠르게 찾지만, 솔팅이 적용되면 테이블 재생성이 필요해 실용성이 급격히 떨어진다.

해시 알고리즘 비교 실험에서는 MD5, SHA‑256, bcrypt 세 가지를 대상으로 John the Ripper와 Hashcat을 이용해 동일한 5개 데이터셋을 공격했다. MD5는 128비트 출력에도 불구하고 충돌 취약성과 빠른 연산 속도로 인해 몇 초 내에 무차별·사전 공격이 성공했다. SHA‑256는 256비트 출력과 강력한 충돌 저항성을 제공하지만, 연산 비용이 낮아 GPU 가속 시 수십억 해시를 초당 처리할 수 있어 여전히 실용적인 공격 대상이다. 반면 bcrypt는 비용 파라미터(2^cost)와 128비트 솔트를 결합해 연산량을 조절 가능하게 하며, 메모리 집약적인 설계 덕분에 GPU·ASIC 가속 효과가 제한적이다. 실험 결과, 비용 파라미터를 12 이상으로 설정했을 때 동일한 하드웨어 환경에서도 무차별 공격이 수시간에서 수일 수준으로 급격히 느려졌다.

방어 메커니즘 평가에서는 솔팅, 느린 해시, 계정 잠금 정책, 다중 인증(MFA), 위험 기반 적응 인증(Risk‑Adaptive Authentication) 등을 다각도로 분석한다. 솔팅은 레인보우 테이블 공격을 원천 차단하고, 동일 비밀번호에 대한 해시 충돌을 방지한다. 느린 해시(bcrypt, Argon2 등)는 공격자가 해시를 역산하는 비용을 인위적으로 높여 실질적인 방어 효과를 제공한다. 계정 잠금은 연속된 실패 시도를 차단해 무차별·사전 공격을 물리적으로 억제하지만, 과도한 잠금 정책은 서비스 거부(DoS) 위험을 내포한다. MFA는 지식 요소(비밀번호) 외에 소유·생체 요소를 결합해 단일 요소 탈취 시에도 인증을 차단한다. 위험 기반 적응 인증은 로그인 환경(IP, 디바이스, 행동 패턴)을 실시간 분석해 인증 강도를 동적으로 조정함으로써 사용성 손실을 최소화하면서 보안을 강화한다.

마지막으로 논문은 현재 연구 동향을 바탕으로 실무 적용 시 고려해야 할 최적화 전략을 제시한다. 첫째, 비밀번호 저장은 반드시 per‑user 솔팅과 비용 조절이 가능한 느린 해시(bcrypt ≥ cost 12, Argon2id 권장)로 전환한다. 둘째, 비밀번호 정책은 최소 길이 12자, 대·소문자·숫자·특수문자 조합을 강제하고, 흔히 사용되는 사전 단어를 차단한다. 셋째, MFA를 기본 옵션으로 도입하고, 위험 기반 인증 엔진을 구축해 비정상 로그인 시 추가 인증을 요구한다. 넷째, 계정 잠금 정책은 실패 횟수와 잠금 기간을 균형 있게 설정하고, 자동화된 잠금 해제 절차와 CAPTCHA 등을 결합해 DoS 공격을 방지한다. 마지막으로 honeywords(가짜 비밀번호)와 비밀번호 재사용 감지를 도입해 침해 시 피해 범위를 최소화한다. 이러한 종합 방어 체계는 현재와 미래의 고성능 크래킹 위협에 대비하는 가장 현실적인 접근법으로 평가된다.

**