유출된 비밀번호인지 어떻게 검사하나요?

비교 대상이 네 가지로 적혀 있습니다

답부터 적으면 NIST SP 800-63B-4 는 검증자가 후보 비밀번호를 블록리스트와 비교해야 한다고 적습니다. 목록에는 흔하게 쓰이는 값, 예상 가능한 값, 침해된 값이 들어가고, 구체적으로는 유출 자료 모음, 사전 단어, 반복·연속 문자열, 그리고 서비스명이나 사용자명 같은 맥락 단어가 포함됩니다.

비교 방식이 함께 지정되어 있습니다

여기서 중요한 문장이 하나 더 있습니다. 비교는 부분문자열이 아니라 비밀번호 전체를 대상으로 한다는 것입니다. 즉 긴 비밀번호 안에 사전 단어가 들어 있다는 이유로 거부하지 않습니다. 전체 값이 목록에 있을 때 거부하는 구조입니다.

부분문자열로 비교하면 생기는 문제

부분문자열까지 걸러내면 사용자는 쓸 수 있는 값을 찾기 어려워집니다. 긴 문장형 비밀번호는 대부분 사전 단어를 포함하므로 거부되고, 결과적으로 사용자는 짧고 기계적인 값을 만들게 됩니다. 길이를 늘리려는 방향과 정면으로 충돌합니다. 전체 비교라는 조건이 그 충돌을 막습니다.

구성 규칙을 대체하는 장치입니다

NIST 는 구성 규칙 강제를 금지합니다. 대소문자와 숫자, 특수문자를 섞으라고 요구해도 예측 가능한 변형이 나오기 때문입니다. 블록리스트 대조는 그 자리를 대신합니다. 조합을 강제하는 대신 실제로 약한 값만 걸러내는 방식이고, 그래서 두 규칙은 세트로 움직입니다.

걸렸을 때의 처리까지 정해야 합니다

대조에서 걸리는 경우는 두 종류입니다. 새로 만들려는 값이 걸리면 다른 값을 요구하면 됩니다. 이미 쓰고 있는 값이 유출 목록에 올라온 것이 확인되면 그것은 침해 증거에 해당하므로 변경을 강제해야 합니다. NIST 는 침해 증거가 있으면 변경을 강제해야 한다고 적습니다.

사례: 계정 34개를 대조한 결과 처리하기

상황은 블록리스트 대조를 새로 도입한 조직입니다. 입력값은 확인일 2026년 10월 19일, 계정 34개, 대조 결과 유출 목록에 걸린 값 2개, 사전 단어 하나로만 구성된 값 1개, 서비스명을 그대로 쓴 값 1개, 나머지 30개는 걸리지 않음입니다. 계산은 걸린 유형별로 처리를 나누는 것입니다. 유출 목록에 걸린 2개는 침해 증거이므로 변경을 강제합니다. 사전 단어 단독 1개와 서비스명 그대로 1개는 예상 가능한 값에 해당하므로 변경을 요구합니다. 최종 결과는 즉시 변경 강제 2개, 변경 요구 2개, 유지 30개이고 합계 34개입니다. 결과를 바꾸는 예외는 긴 문장형 비밀번호 안에 사전 단어가 포함된 경우로, 전체 비교 원칙에 따라 그것만으로는 거부하지 않습니다. 다음 행동은 대조 결과를 유형별로 적어 처리 방식을 구분하는 것입니다.

대조를 한 번으로 끝내지 않는 이유

유출 자료는 계속 새로 공개됩니다. 도입 시점에 통과한 값이 나중에 목록에 올라올 수 있습니다. 그래서 대조는 비밀번호를 만들 때만 하는 검사가 아니라 주기적으로 다시 도는 검사로 두는 편이 맞습니다. CISA 의 지침이 비활성·미승인 계정을 분기별로 검토하라고 적으므로, 재대조를 같은 분기 점검에 붙이면 주기가 생깁니다.

비교 대상과 비교 방식