MS, 윈도 보안 기준에 '패스워드 주기적 변경' 삭제

마이크로소프트(MS)가 PC 운영체제(OS)인 윈도 10과 서버용 OS 윈도 서버의 보안 기준에서 패스워드를 주기적으로 변경해야 한다는 조항을 삭제했다.

보안 기준은 MS가 기업의 보안 관리자에게 권장하는 내용들을 담고 있다. 주기적인 비밀번호 변경이 보안에 실질적으로 도움이 되지 않는다는 주장이 힘을 얻은 상황에서 이번 조치가 이뤄졌다.

MS는 윈도 10과 윈도 서버의 1903 버전 업데이트에 이같은 내용을 포함한 변경사항이 반영됐다고 자사 블로그를 통해 밝혔다.

■42일마다 나타났던 윈도 계정 패스워드 교체 필요 없어진다

삭제된 조항은 PC에 접속하기 위한 윈도 계정과 패스워드에 대한 내용이다. 윈도에서는 기본적으로는 42일마다 사용자에게 패스워드 교체를 요구해왔다.

주기적으로 패스워드를 변경하라는 규칙의 출처는 미국 국립표준기술연구소(NIST)다. NIST는 지난 2003년 발행된 인증보안기술 관련 가이드라인의 부속서 'NIST Special Publication 800-63 Appendix A'를 통해 패스워드에 알파벳 대소문자, 숫자, 특수문자를 혼합해 넣고, 이를 주기적으로 변경할 것을 권장했다.

해당 가이드라인이 법적 구속력을 갖고 있진 않다. 다만 IT 업계 전반에서 이 내용을 자사 인증 체계 수립 과정에 참고했다.

한국인터넷진흥원(KISA)가 지난 2008년 발간한 '패스워드 선택 및 이용 안내서'에도 이같은 내용이 담겼다. 해당 안내서에는 안전한 패스워드 설정을 위한 조건으로 ▲로마자 알파벳 대문자와 소문자, 특수문자, 숫자 중 세 가지 종류 이상의 문자 구성 ▲8자 이상의 길이 ▲90일 또는 몇 달 가량의 변경 주기를 설정하라고 권고하고 있다.

■KISA, 패스워드 이용 안내서 개정판 이달 중 출시

주기적 패스워드 변경 조항이 이용자 불편만 초래할 뿐 보안에 대해서는 긍정적 효과가 미약하다는 주장이 제기되는 등 상황이 점차 달라졌다.

블로그에서 MS는 "패스워드를 도둑맞지 않는다면, 잦은 패스워드 만료로 아무런 이득을 취할 수 없다"고 이번 조치의 이유를 소개했다.