비밀번호 64자 허용이 왜 요건이 되었나요?

요건의 대상은 서비스입니다

답부터 적으면 NIST SP 800-63B-4 는 검증자가 최소 64자의 최대 비밀번호 길이를 허용해야 한다고 적습니다. 사용자가 64자를 쓰라는 요구가 아니라, 서비스가 그만큼 받아 주어야 한다는 요건입니다. 그래서 이 항목은 사용자가 지킬 것이 아니라 확인할 것입니다.

최소 길이 요건과 짝을 이룹니다

같은 문서는 비밀번호를 단일 인증 요소로 쓸 때 최소 15자를 요구합니다. 최소가 올라가면 최대도 넉넉해야 선택의 폭이 생깁니다. 최대가 16자라면 사용자는 15자와 16자 사이에서만 고를 수 있고, 문장형이나 관리자가 만든 무작위 값은 쓸 수 없습니다. 두 숫자는 범위의 양 끝입니다.

짧은 최대 길이가 막는 것

구체적으로 두 가지가 막힙니다. 하나는 공백을 포함한 문장형 비밀번호입니다. 외우기 쉬운 긴 값은 대개 20자를 넘습니다. 다른 하나는 비밀번호 관리자가 생성하는 무작위 값입니다. 길이를 늘려 강도를 확보하는 방식인데 최대 길이가 짧으면 그 방식이 통하지 않습니다.

관리자 사용 권고와 연결됩니다

CISA 의 Secure Our World 는 기본 습관으로 다중 인증과 비밀번호 관리자 사용을 함께 적습니다. 관리자를 쓰기로 했다면 긴 무작위 값을 쓰게 되고, 그때 서비스의 최대 길이 제한이 바로 걸립니다. 그래서 최대 길이는 관리자 도입의 전제 조건을 확인하는 항목이기도 합니다.

제한이 걸렸을 때의 선택지

서비스가 짧은 최대 길이를 고수하면 사용자가 바꿀 수 없습니다. 남는 선택지는 두 가지입니다. 그 서비스에 다중 인증을 적용해 비밀번호가 단일 요소가 아니게 만드는 것, 그리고 그 사실을 기록해 두고 대체 서비스를 검토하는 것입니다. 다중 인증을 적용하면 최소 기준이 8자로 내려오므로 짧은 최대 길이와의 충돌이 줄어듭니다.

사례: 서비스 12개의 최대 길이를 점검하기

상황은 개인이 쓰는 주요 서비스 12개입니다. 입력값은 확인일 2026년 10월 19일, 최대 길이가 64자 이상인 서비스 8개, 32자인 서비스 3개, 16자인 서비스 1개이고 다중 인증은 7개에 적용되어 있습니다. 계산은 요건과 실제 사용을 겹쳐 보는 것입니다. 64자 이상 8개는 요건을 충족하므로 관리자가 만든 긴 값을 그대로 씁니다. 32자 3개는 요건 미달이지만 15자 기준을 충분히 넘으므로 실사용에는 문제가 없고 기록만 남깁니다. 16자 1개는 15자 기준을 겨우 넘는 수준이라 다중 인증을 적용해 8자 기준으로 내립니다. 최종 결과는 그대로 사용 8개, 기록만 3개, 다중 인증 적용 1개입니다. 결과를 바꾸는 예외는 16자 서비스가 다중 인증을 지원하지 않는 경우로, 그때는 15자를 채우고 고유성을 확보한 뒤 대체 서비스 검토 대상으로 둡니다. 다음 행동은 서비스 12개의 최대 길이를 실제로 입력해 확인하는 것입니다.

최대 길이를 확인하는 방법

안내 문구에 적혀 있지 않은 경우가 많습니다. 가장 확실한 방법은 비밀번호 변경 화면에서 긴 값을 입력해 어디서 잘리는지 보는 것입니다. 입력은 되지만 저장 후 로그인이 안 되는 경우도 있어, 변경한 뒤 로그아웃하고 다시 로그인해 확인합니다. 이 확인을 하지 않으면 접속이 막힌 뒤에 알게 됩니다.

최대 길이가 짧을 때 막히는 것