대부분의 엔드 유저들은 기업 시스템이나 데이터를 보호하기 위해
암호를 사용하는 것이 중요하다고 알고는 있지만,
튼튼한 암호를 만드는 방법은 모르고 있다.
때문에 회사가 튼튼한 암호 정책을 만드는 것이 중요하다.
암호의 안정성은 암호에 대한 정책에 달렸다.

기본적으로 윈도우는 GPO(Default Domain Group Policy Object)와
워크스테이션 및 서버의 로컬 보안 정책이 비활성화돼 있다.
각 기관들이 명문화된 암호 정책을 사용하고
이 정책을 강제하는 이유가 바로 그 때문이다.

예를 들어, 컴퓨터의 암호 정책이 대소문자, 숫자, 특수문자와 같은
다른 복잡한 조합을 정하지 않은 채 단지 최소 6자리 글자로만 돼 있다고 하면,
매우 약한 암호 정책을 취하고 있는 것이다.
즉, 대부분의 유저들이 무차별 대입법(brute force)이나
사회 공학(social engineering)적 공격에 의해 쉽게 크랙될 수 있는 암호를
사용하고 있다는 것을 뜻한다.

어떻게 하면 해커들이 쉽게 추측할 수 없는 튼튼한 암호를 만들 수 있을까?
먼저, 기본 그룹 정책 객체(GPO : Default Domain Group Policy Object)나
로컬 워크스테이션과 서버의 암호 필터를 활성화 시킨다.
암호 필터를 찾으려면, 기본 도메인 정책안의 그룹 정책 MMC에서
"컴퓨터 구성\Windows 설정\보안 설정\계정 정책\암호 정책"을 확인해 보면 된다.
이 암호 필터를 활성화하면, 암호 정책을 시작할 수 있다.

이제 효과적인 암호 정책의 예를 보자.
대부분의 조직은 최소 8자리 글자의 암호를 요구하며
대문자, 소문자, 숫자, 특수 문자 중 적어도 3가지는 꼭 포함하도록 하고 있다.
이전 최대 24건의 암호 변경 내용을 저장하도록 하는데,
이것은 실질적으로 유저들이 암호를 재사용할 수 없도록 한다.

또한 암호의 최소, 최대 사용 기간을 적당히 지정해야 하는데
최대 사용 기간은 180일, 최소 사용 기간은 90일로 설정하는 것을 추천한다.
이 방법은 유저들이 암호를 계속 바꿈으로써 이전 암호를 다시 사용하는 것을 막는다.

좋은 암호 정책을 세우는 것도 좋지만 더 중요한 것은 실제로 그것을 시행하는 것이다.
아무도 따르지 않으려고 하는 정책은
아무리 강해도 그저 아무 정책도 없는 것이나 같다.

게다가 암호가 너무 복잡해서 유저들이 암호를 적어놔야 한다면
좋은 암호 정책도 필요 없다는 것을 알아 두어야 한다.
이런 상황은 보안을 강화한다기보다는 단지 보안 위협을 다른 쪽으로 옮길 뿐이다.

그러면 어떻게 해커들을 막을 만큼 복잡하고 기억하기 쉬운 암호를 만들 수 있을까?
복잡하지만 기억하기 쉬운 암호를 만드는 요령은 다음과 같다.

1단계 : 기본 단어를 하나 생각하자.
애완동물의 이름과 같이 쉽게 기억할 수 있는 이름을 하나 생각하자.
예를 들어, 루이빌(Louisville)에 산다고 하면
이 단어를 토대로 튼튼한 암호를 만드는 세부 사항들을 채울 수 있다.
적어도 한 개의 대문자와 한 개의 숫자 혹은 특수 문자를
사용해야 한다는 것을 기억하자.
루이빌을 기본 단어로, i를 ! 혹은 1로 바꾸거나 s를 $로 바꾸면  
Lou1$ville이나 L0u!$ville 과 같은 단어를 만들 수 있다.

2단계 : 기본 단어에 몇 글자를 더 붙인다.
기본 단어에 아무 글자나 4글자를 붙이자.

3단계 : 만들어진 암호를 저장한다.
이제 기본단어를 실마리로 하여 4글자가 붙은 단어를 써보자.
위의 예를 이용하면, Lou1$ville이 1개의 1과 $를 가지고 있다는 뜻으로 city1을
그리고 여기에 4글자 xyza를 추가하면, city1xyza이란 단어를 만들어 낼 수 있다.
따라서 암호가 만들어진 후라도, 이 암호 생성 과정은 다른 사람들에게 들키지 않고
완성된 암호를 기억나도록 도와줄 것이다.

p.s 암호를 자기이름, 주소, 주민등록번호, 전화번호등 간단하게 설정하는 사람들이 많다. 요세처럼 자기의 신상이 인터넷상에 돌아다니고 있을때 그 신상만으로도 쉽게 유추가 가능하다. 이럴때 일수록 암호를 자신만이 아는 진정한 암호로 설정하여 쓰는 것이 보안의 첫번째가 아닌가 하는 생각이 든다.

[보안노하우] 튼튼한 암호 만들기 끝.