암호 보안 권장 사항
iOS, iPadOS, macOS 및 visionOS의 암호 자동 완성의 암호 목록은 저장된 암호 중 다른 웹사이트에서 재사용된 암호, 보안에 취약한 암호 및 데이터 유출로 침해된 암호를 표시합니다.
개요
두 개 이상의 서비스에 동일한 암호를 사용하면 해당 계정이 크리덴셜 스터핑(Credential Stuffing) 공격에 취약해질 수 있습니다. 서비스의 보안을 뚫고 암호가 유출되면 공격자는 다른 서비스에 동일한 자격 증명을 사용하여 또 다른 계정을 공격할 수 있습니다.
서로 다른 도메인에서 두 개 이상의 저장된 암호에 대해 동일한 암호가 사용된 경우 재사용된 암호로 표시됩니다.
공격자가 쉽게 추측할 수 있는 암호는 보안에 취약한 암호입니다. iOS, iPadOS, macOS 및 visionOS는 사전에 있는 단어 사용, 일반적인 대체 문자(예: ‘password’ 대신 ‘p4ssw0rd’ 사용), 키보드에서 찾은 패턴(예: QWERTY 키보드에서 ‘q12we34r’), 연속되는 글자 반복(예: ‘123123’) 등의 기억하기 쉬운 암호를 생성하는 일반적인 패턴을 감지합니다. 이러한 패턴은 서비스의 암호 생성 최소 요구 사항을 충족하는 암호를 생성하기 위해 주로 사용되지만, 암호 획득을 무작위로 시도하려는 공격자가 일반적으로 사용하는 방법이기도 합니다.
많은 서비스가 4자리 또는 6자리 PIN 코드를 따로 요구하기 때문에 이러한 짧은 암호는 다른 규칙으로 평가됩니다. PIN 코드가 연속된 숫자(예: ‘1234’ 또는 ‘8765’)이거나 반복되는 패턴(예: ‘123123’ 또는 ‘123321’)처럼 가장 일반적인 PIN 코드 중 하나인 경우, 보안 강도가 약한 것으로 간주됩니다.
암호 모니터링 기능에서 암호가 데이터 유출에 포함되었다고 보는 경우 유출된 암호로 표시됩니다. 자세한 내용은 암호 모니터링를 참조하십시오.
취약하고 재사용되었으며 유출된 암호는 암호 목록(macOS)에 표시되거나 전용 보안 권장 사항 인터페이스(iOS, iPadOS 및 visionOS)에 표시됩니다. 사용자가 보안에 취약한 암호나 데이터 유출로 침해된 기존 저장 암호로 Safari의 웹사이트에 로그인하는 경우 자동으로 강력한 암호를 사용하도록 암호 업그레이드를 적극 권장하는 알림이 표시됩니다.
iOS, iPadOS, visionOS에서 계정 인증 보안 업그레이드하기
인증 서비스 프레임워크에서 계정 인증 변경 확장 프로그램을 구현한 앱은 암호 기반 계정이 ‘Apple로 로그인’을 사용하도록 전환하거나 자동으로 강력한 암호를 사용하도록 한 번의 탭을 통한 간편한 업그레이드를 제공할 수 있습니다. 이 확장 포인트는 iOS, iPadOS 및 visionOS에서 사용할 수 있습니다.
앱이 확장 포인트를 구현하고 기기에 설치된 경우, 설정의 iCloud 키체인 암호 관리자에서 앱과 연결된 자격 증명에 대한 보안 권장 사항을 볼 때 확장 업그레이드 옵션이 표시됩니다. 사용자가 위험한 상태의 자격 증명을 사용하여 앱에 로그인 할 때도 업그레이드가 제공됩니다. 앱에는 로그인 후 사용자에게 업그레이드 옵션을 표시하지 않도록 시스템을 설정하는 기능이 있습니다. 새로운 AuthenticationServices API를 사용하면 앱의 계정 설정 또는 계정 관리 화면에서 앱이 자체적으로 확장 프로그램을 호출하고 업그레이드를 수행할 수도 있습니다.
앱은 강력한 암호 업그레이드, ‘Apple로 로그인’ 업그레이드 중 하나 이상을 지원하도록 선택할 수 있습니다. 강력한 암호 업그레이드의 경우, 시스템은 사용자를 위해 자동으로 강력한 암호를 생성합니다. 필요한 경우 앱은 사용자 설정 암호 규칙을 제공하여 새로운 암호를 생성할 때 해당 규칙을 따르도록 할 수 있습니다. 사용자가 계정에 대해 암호를 사용하는 방식에서 ‘Apple로 로그인’을 사용하도록 변경하면, 시스템은 계정을 연결할 확장 프로그램에 새로운 Apple로 로그인 자격 증명을 제공합니다. 사용자의 Apple 계정 이메일은 자격 증명의 일부로 제공되지 않습니다. ‘Apple로 로그인’ 업그레이드에 성공한 후, 이전에 사용한 암호 자격 증명이 사용자의 키체인에 저장되어 있는 경우 시스템에서 해당 자격 증명을 키체인에서 삭제합니다.
계정 인증 변경 확장 프로그램은 업그레이드를 진행하기 전에 추가 사용자 인증을 수행할 수 있습니다. 암호 관리자 내에서 시작되었거나 앱에 로그인한 후 시작된 업그레이드의 경우, 확장 프로그램은 업그레이드할 계정의 사용자 이름과 암호를 제공합니다. 앱 내 업그레이드의 경우, 사용자 이름만 제공됩니다. 확장 프로그램에서 추가 사용자 인증을 요구하는 경우, 업그레이드를 진행하기 전에 사용자 설정 사용자 인터페이스를 표시하도록 요청할 수 있습니다. 이러한 사용자 인터페이스를 표시하도록 하는 의도는 사용자가 2차 인증 요소를 입력하여 업그레이드를 승인하도록 하기 위한 것입니다.