비밀번호에 이모지를 허용해야하는가? (feat. 정책)

Question

일반적으로 웹 서비스에서는 일부 특수문자와 영문 대소문자로 이루어진 복잡한 비밀번호를 입력하도록 요구하는 정책을 가집니다. 회사에서 만들어진 시스템은 6자리 이상의 비밀번호만 입력해도 무방하도록 되어있습니다.반드시 복잡한 비밀번호를 요구해야한다는 관점은 사양하겠습니다. 주된 요점이 아니기 때문이에요.아무튼 개발 경력 6년만에 그동안 관심없고 신경쓰지 못한 부분이 나타났는데요. 바로 비밀번호 입력에 이모지를 허용해야하는가? 입니다. 사실 문제가 되었던 건 QA 엔지니어가 비밀번호에 이모지를 넣고나서 로그인을 시도하는 과정에 자바스크립트의 btoa 함수를 사용해 비밀번호를 Base64로 인코딩하는 동작을 넣어두었기 때문인데요.Base64는 보안 관점에서 조금 더 불편하라고 넣어둔 것 뿐입니다. 오해하지 않으시길 바랍니다.저도 몰랐고 보통 Base64로 굳이 인코딩하지 않으며 비밀번호에 이모지를 입력하지 않는 편이니 모르시는 분들이 많을테지만 Base64로 인코딩하는 과정에서 이모지가 포함된 것은 아래와 같이 오류가 발생합니다.Uncaught DOMException: Failed to execute 'btoa' on 'Window': The string to be encoded contains characters outside of the Latin1 range.인터넷에서 찾아보니 js-base64 라이브러리를 사용하도록 변경하면 될 것 같군요.쓸데없는 배경을 설명하느라 주절댔지만 여러분의 생각이 궁금한 것은 과연 비밀번호에 이모지 입력을 제한해야하는가에 대한 생각입니다. 이와 관련해서 찾아보니 많지는 않지만 비밀번호에 이모지 입력을 요구하면 더 보안적이라는 이야기를 하기도 하는군요.흠... 이참에 Base64 동작을 빼버려...?!누군가에겐 쓸데없는 정보지만 저에겐 소중한 경험이기에 트러블슈팅을 기록하기 위해 정리하러 갔다오도록 하겠습니다.

Gear · Answer

추가적인 내용을 덧붙입니다이모지가 btoa 함수에서 예외가 발생하는 이유는, 이모지가 2 바이트 이상으로 이루어진 문자이기 때문입니다. 따라서 한글 역시 예외가 발생합니다.btoa(&#34;한글&#34;) // Uncaught DOMException: Failed to execute 'btoa' on 'Window': The string to be encoded contains characters outside of the Latin1 range. at <anonymous>:1:1https://developer.mozilla.org/ko/docs/Web/API/btoabtoa는 보시다시피 1바이트짜리 문자로 이루어진 문자열만 처리할 수 있기 때문에, 한글이나 일부 특수문자 등을 btoa를 통해 인코딩 하기 위해서는 약간의 추가적인 처리를 좀 해줘야 합니다.링크한 글에서처럼 처리할 수 있긴 하지만, 링크한 글에서는 한글 base64 인코딩 결과가 올바르지 않아 보입니다.사과맛오렌지님의 답변 덕분에 잘못된 부분에 취소선을 긋고 글을 덧붙입니다.올바르지 않은 것이 아니고, UTF-16 인코딩된 채로 base64 인코딩을 했기 때문에 다른 결과가 나온 것으로 보입니다.제가 링크한 글에 나와있는데, 읽어보고도 간과했네요.위 글에서 소개하는 방법으로 &#34;한글&#34; 인코딩한 결과 &#34;XNUArg&#61;&#61;&#34; (UTF-16 인코딩)다른 곳에서 &#34;한글&#34; 인코딩 결과 &#34;7ZWc6riA&#34; (UTF-8 인코딩)UTF-8 인코딩 된 문자열로 base64 인코딩을 하려면 링크한 글에서 방법을 좀 보완하면 되지만, 저는 좀 더 간단한 방법으로 해결 해보고자 합니다.TextEncoder를 이용하면 되는데, TextEncoder를 통해 문자열을 1바이트 단위로 자를 수 있습니다.const emoji &#61; &#34;&#x1f600;&#34; const encoder &#61; new TextEncoder() // encoder 준비 const encoded &#61; encoder.encode(emoji) // encode 결과는 Uint8Array const array &#61; [...encoded].map(v &#61;> String.fromCharCode(v)) // 1바이트 문자로 이루어진 배열로 변환 const converted &#61; array.join(&#34;&#34;) // 문자열로 변환 const result &#61; btoa(converted) // &#34;8J&#43;YgA&#61;&#61;&#34;디코딩은 역순으로 하면 됩니다const encoded &#61; &#34;8J&#43;YgA&#61;&#61;&#34; const converted &#61; atob(encoded) // base64 디코드 const array &#61; converted.split(&#34;&#34;).map(v &#61;> v.charCodeAt(0)) // 문자 코드 배열로 변환 const uintArray &#61; new Uint8Array(array) // Uint8Array로 변환 const decoder &#61; new TextDecoder() // decoder 준비 const result &#61; decoder.decode(uintArray) // &#34;&#x1f600;&#34;

사과맛오렌지 · Answer

지나가다 본 개인적인 의견이지만, 혹시라도 도움이 될까 싶어 몇자 적어봅니다.base64는 기본적으로 이진 데이터를 문자열로 반환하는 알고리즘입니다.바이너리 -> base64() -> 문자열인 것이지, 문자열 -> base64() -> 문자열이 아닙니다.말씀하신 btoa함수는 파라메터로 받은 문자열 속 문자를 각각 byte 하나로 치환한 후 인코딩하는 것으로 보입니다.그 치환 과정이 ASCII인지, 아니면 UTF-8인지는 정확히 모르겠네요.(도큐먼트에서 "In JavaScript strings are represented using the UTF-16 character encoding: in this encoding, strings are represented as a sequence of 16-bit (2 byte) units." 라고 해 놓고, 바로 다음 줄에서 "In terms of JavaScript strings, this means strings in which each character occupies only one byte."라고 해 놓았는데, 암만 눈이 빠지게 읽어도 말이 안 되는 문장 같네요. ASCII로 변환된다는 말도 없고, UTF-16이면 1byte로 표시될 수가 없는데...)TextEncoder는 UTF-8로 변환한다고 명시되어 있군요.요지는, Password-based key를 만들 때 문자열이 바이너리 키로 변환되는 과정에서, 중간 과정에 무엇이 있든 간에 그 프로토콜(또는 규약)은 정확하게 명시되어 있으며, 개발자가 알고 있어야 한다는 뜻입니다.질문과 같은 상황의 경우 비밀번호 문자열 -> 바이너리 -> base64 문자열 -> 바이너리 키(PBKDF2 등등...)으로 보이는데, 이중 base64 알고리즘을 위한 비밀번호 -> 바이너리 부분에서 개발자가 명시적으로 문자열을 UTF-16이든 UTF-8이든 하나의 정해진 charset으로 인코딩하는 코드가 있었다면, 아마 문제가 발생하지 않았을 것 같습니다.비밀번호를 바이너리로 인코딩하는 단계(책임)가 btoa함수에 전가되어 있었던 것이 근본적인 문제점 아닐까 싶습니다.만약 저라면 base64 전에 비밀번호를 UTF-8로 인코딩하자고 확실하게 결론이 났으면 TextEncoder를, 그렇지 않거나 나중에 방식이 바뀔 경우도 대응하고자 할 경우에는 Java의 String.getBytes(Charset encoding)과 비슷한 메소드를 찾거나(간단하게 찾아봤는데 간단한 방법은 잘 안 보이네요;;) 만드는 방식으로 소스를 짤 것 같습니다.

Mambo · Answer

Base64 문제와 별개로 이모지를 비밀번호에 사용하는 것에 대해 작성된 글이 있어 공유합니다.이모지를 많이 지원한다고해도 PC나 모바일 같은 다양한 시스템에서 로그인을 지원하려면 제한하는게 맞을 듯 합니다.Why you should (not) use Emoji in your passwordsShould You Use Emojis in Your Passwords?

mirheeoj · Answer

예전 어떤 사이트에서 비밀번호 설정할땐 허용되던 글자가 로그인할땐 허용이 안 돼서 곤욕을 치른 적이 있습니다. (..왜냐하면 문제의 원인을 알 수 없어 비번 복구시에도 똑같은 패턴이 반복됐기 때문..) 비밀번호 길이와 관련해 비슷한 일을 겪은 적도 있고요. 물론 이건 본문 문제와는 무관하고 사이트 버그에 가까운 일이긴 합니다만, 하여튼 비슷한 원리로 늘 확실히 입력 허용이 보장된 글자가 아니라면 보수적으로 접근해야 될 수도 있을 것 같다는 생각이 듭니다.

비밀번호에 이모지를 허용해야하는가? (feat. 정책)

4개의 답변

Q&A 목록