비밀번호 취약점 판단 기준이 무엇인가요?

Question

안녕하세요 서비스에 적용할 개인정보보호법에 따라 비밀번호 정책을 정의하고 있습니다. 그런데 비밀번호 취약점에 대한 문항이 어느 범위까지 적용되는 지 판단이 잘 되지 않습니다. 제가 예상하는 방법은 (1) 개인정보보호 정책에 금지한 상태일 경우 취약점 판단 (ex. 사용자 생년월일 금지) (2) 회원DB에 쌓여 있는 데이터를 기반으로 비밀번호 취약점 판단 (3) 비밀번호 난수 생성하고 알고리즘으로 푸는 단계 혹은 시간에 따라 취약점 판단 위의 3가지인데 궁금합니다. 대체 비밀번호를 취약하다는 판단 기준과 조건은 무엇인가요?

hans1126 · Answer

기준 자체가 개인정보보호법이라면 취약점도 법에 적힌 것만 넘기면 일단 문제는 안되는 거로 알고 있어요.그 이상이라면 회사 자체에서 정하는 것이겠죠.

신히 · Answer

개인정보보호법과 정보통신망법하에서 아래 정도의 규칙을 지키면 됩니다. (안전성확보조치 기준 등 참고)일방향 암호화 할 것 (salt 를 섞으면 더 좋음)유추 가능한 암호를 사용하지 않을 것 (생일, 전화번호 등)8자리 이상 3가지 이상(숫자, 영문자, 특수문자 등)의 문자를 조합해서 사용할 것안전한 해시 함수를 사용할 것(보통 256 이상, SHA2같은)일정한 주기로 변경할 것 (6개월 이상)이 정도 생각나네요.

defult · Answer

https://www.kisa.or.kr/2060305/form?postSeq=14&page=1https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=8263

John Tracy · Answer

공공으로 배포된 lib가 별도로 있는걸 기억합니다.lib로 기본체크하고 기업에서 정한 별도의 기준을 추가해서 사용했었습니다.(개인정보보호법의 적합성 체크 항목추가나 변경시 lib만 변경하면 끝)

비밀번호 취약점 판단 기준이 무엇인가요?

4개의 답변

기술 목록