다섯 살도 알 수 있게 · 보안

무차별 대입이 뭐예요?

무차별 대입(Brute Force)과 크리덴셜 스터핑(Credential Stuffing)을 열쇠 천 개를 하나씩 꽂아보는 도둑 이야기로 풀어봤어요.

도둑이 열쇠 천 개를 하나씩 꽂아봐요.맞는 열쇠가 나올 때까지 밤새 꽂아봐요. 열쇠는 암호말이에요.

짧은 암호말은 금방 열려요. 긴 암호말은 몇백 년 걸려요.열쇠가 짧을수록 꽂아볼 개수가 적어요. 자주 쓰는 말부터 꽂아보니 '사과'는 제일 먼저 열려요. 열쇠 대신 반지를 쓰면 꽂아볼 것 자체가 없어요.

무차별 대입은 맞을 때까지 다 꽂아보는 도둑이에요.열쇠 천 개를 하나씩 꽂아봐요. 남의 성에서 훔친 열쇠 뭉치도 우리 문에 꽂아봐요.

다 꽂아봐요가, 나, 다… 끝까지

자주 쓰는 말부터'사과', '1234'

훔친 열쇠 뭉치다른 성에서 새어 나온 것

문마다 하나씩 살짝잠기지 않게 조금씩

같은 열쇠를 세 문에 쓰면, 상점 명부가 새는 순간 우리 성문도 열려요.도둑은 꽂아볼 필요도 없어요. 새어 나온 명부의 열쇠를 그대로 우리 문에 꽂아요. 같은 열쇠를 여러 문에 쓰지 마세요.

세 번 틀리면 문을 잠가요. 한 번마다 기다리게 하고, 두 번째 확인을 하고, 종을 울려요.열쇠 천 개가 있어도 세 번밖에 못 꽂아요. 두 번째 확인이 있으면 열쇠가 맞아도 못 들어와요. 틀린 횟수가 쌓이면 경비실 화면에 종이 울려요.

한 줄로

무차별 대입 = 맞을 때까지 열쇠를 다 꽂아보는 도둑. 크리덴셜 스터핑 = 다른 성에서 훔친 열쇠 뭉치를 우리 문에 꽂아보기. 막으려면 긴 암호말, 잠금, 두 번째 확인.

Brute Force / Credential Stuffing. 가능한 비밀번호를 전부 시도하거나(브루트 포스), 다른 서비스에서 유출된 계정 정보를 그대로 넣어 보는(크리덴셜 스터핑) 공격이에요. 긴 비밀번호, 계정 잠금, 레이트 리밋, MFA 로 막아요.

무차별 대입 Brute force: 열쇠 천 개 다 꽂아보기. 가부터 끝까지. 짧은 암호말은 금방 걸려요.
사전 공격 Dictionary attack: 자주 쓰는 말부터. '사과', '1234', '비밀번호'. 아무 열쇠나가 아니라 잘 맞는 열쇠부터 꽂아요.
크리덴셜 스터핑 Credential stuffing: 훔친 열쇠 뭉치 꽂아보기. 다른 성에서 샌 명부를 우리 문에 그대로. 같은 열쇠를 여러 문에 쓰면 당해요.
비밀번호 스프레이 Password spraying: 문마다 하나씩 살짝. 한 문에 천 번이 아니라, 천 문에 한 번씩. 잠금을 피하려고요.
잠금 정책 Lockout policy: 세 번 틀리면 문 잠김. 잠깐 잠그거나, 경비가 올 때까지 잠가요.
레이트 리밋 Rate limiting: 한 번마다 잠깐 기다려. 천 개를 꽂는 데 천 밤이 걸리게 만들어요.
MFA MFA: 두 번째 확인. 열쇠가 맞아도 반지가 없으면 못 들어와요. → 세 번 확인하는 문지기
유출 데이터 Leaked credentials: 다른 성에서 샌 명부. 내 열쇠가 샜는지 알려주는 곳이 있어요. 샜으면 바로 바꿔요. → 도둑 수업

다음 이야기

다른 용어도 그림책으로 보고 싶다면 요청하기 →