대문자·숫자·특수문자 조합 규칙이 사라진 이유

권고가 아니라 금지입니다

답부터 적으면 NIST SP 800-63B-4 는 검증자와 자격증명 서비스 제공자가 비밀번호에 다른 구성 규칙을 강제해서는 안 된다고 적습니다. 서로 다른 문자 종류를 섞도록 요구하는 것을 예로 들고 있습니다. 하지 않는 편이 낫다는 권고가 아니라 하지 말라는 금지 문장입니다.

조합을 강제하면 예측 가능성이 올라갑니다

대문자 하나, 소문자 하나, 숫자 하나, 특수문자 하나를 요구하면 사용자는 최소 요건을 가장 적은 노력으로 맞춥니다. 첫 글자를 대문자로, 끝에 숫자와 느낌표를 붙이는 식입니다. 결과적으로 생성되는 값의 분포가 좁아지고, 길이는 짧은 채로 유지됩니다.

무엇이 그 자리를 대신하는가

같은 문서는 두 장치를 둡니다. 하나는 길이입니다. 비밀번호를 단일 인증 요소로 쓸 때 최소 15자, 다중 인증의 한 요소로 쓸 때 최소 8자입니다. 다른 하나는 블록리스트 대조입니다. 흔한 값과 유출된 값을 비밀번호 전체 단위로 비교해 거부합니다. 조합 강제를 지우고 이 둘을 넣는 것이 지침이 적은 상태입니다.

문자 제약을 함께 풀어야 합니다

길이를 늘리려면 쓸 수 있는 문자가 넉넉해야 합니다. NIST 는 검증자가 출력 가능한 모든 ASCII 문자와 공백을 허용해야 하고 유니코드도 허용해야 한다고 적습니다. 그리고 최대 길이는 64자 이상을 허용해야 한다고 적습니다. 조합을 지우면서 허용 문자와 최대 길이를 함께 열어 주어야 긴 문장형 비밀번호가 가능해집니다.

사례: 정책 문서에서 지울 문장 찾기

상황은 비밀번호 정책을 운영해 온 조직입니다. 입력값은 확인일 2026년 10월 19일, 현재 정책에 네 문장이 있습니다. 대소문자·숫자·특수문자 각 1자 이상 포함, 최소 8자, 최대 16자, 90일마다 변경입니다. 계산은 지침과 대조해 유형을 나누는 것입니다. 조합 요구 1문장은 금지 항목이므로 제거합니다. 최대 16자 제한은 64자 이상 허용 요건과 어긋나므로 상향합니다. 90일 주기 변경은 요구 금지 항목이므로 제거합니다. 최소 8자는 다중 인증이 함께 걸린 계정에는 유지할 수 있으나 미적용 계정에는 15자가 필요하므로 조건부로 나눕니다. 최종 결과는 제거 2문장, 상향 1문장, 조건부 분리 1문장이고 추가로 블록리스트 대조와 침해 시 변경 강제 2문장을 넣습니다. 결과를 바꾸는 예외는 외부 규정이 조합을 요구하는 경우로, 그때는 그 규정과 이 지침의 충돌을 기록하고 어느 쪽을 따를지 결정 주체를 적습니다. 다음 행동은 정책 문서를 열어 네 문장에 표시하는 것입니다.

사용자에게 설명할 때의 요지

조합 요구를 없애면 느슨해졌다고 읽힙니다. 설명의 요지는 요구가 줄어든 것이 아니라 바뀌었다는 점입니다. 문자 종류를 섞으라는 요구 대신 더 길게 쓰라는 요구가 들어오고, 약한 값은 조합이 아니라 목록 대조로 걸러집니다. 길이가 늘어난 대신 공백과 유니코드를 쓸 수 있어 문장형이 가능해진다는 점도 같이 알립니다.

CISA 의 기본 습관과 어긋나지 않습니다

CISA 의 Secure Our World 는 기본 습관으로 피싱 신고, 강한 비밀번호 사용, 다중 인증과 비밀번호 관리자 사용, 소프트웨어 업데이트를 적습니다. 강한 비밀번호라는 표현에 구체 수치는 없고, 그 수치는 NIST 쪽에서 가져옵니다. 두 문서가 충돌하는 것이 아니라 역할이 나뉘어 있습니다.

지운 것과 그 자리에 들어오는 것