패턴 잠금 vs PIN vs 비밀번호 vs Face ID, 무엇이 더 안전할까?

모든 잠금 방식은 추측하기 얼마나 어려운지, 지켜보기 얼마나 쉬운지, 그리고 누군가 나에게 열도록 만들기 얼마나 쉬운지 사이의 절충입니다. 대부분의 비교는 첫 번째만 봅니다. 이 가이드는 세 가지를 모두 살펴보며, 숫자가 있는 곳에는 실제 숫자를, 없는 곳에는 솔직한 단서를 붙입니다.

네 가지 후보

• PIN은 짧은 숫자 조합으로, iPhone에서는 보통 4자리나 6자리입니다.
• 영숫자 비밀번호는 문자, 숫자, 기호로 이루어진 길이 제한 없는 문자열입니다.
• 패턴은 점 격자 위에 그리는 경로입니다. Android가 3×3 격자를 대중화했고, Velcrypt의 패턴 잠금은 5×5 격자를 사용합니다.
• 생체 인증(Face ID, Touch ID)은 얼굴이나 지문으로 잠금을 해제하며, 암호가 뒷받침합니다.

경우의 수: 몇 번이나 추측해야 할까?

경우의 수(탐색 공간)란 공격자가 최악의 경우 시도해야 하는 가능한 비밀의 수입니다. 잠금 방식을 비교하는 가장 명확한 숫자지만, 사람들은 비밀을 무작위로 고르지 않는다는 점을 기억해야 합니다.

PIN

4자리 PIN은 10 × 10 × 10 × 10 = 10,000가지입니다. 6자리 PIN은 1,000,000가지입니다. 이 100배의 차이는 대부분의 사람이 할 수 있는 가장 쉬운 보안 강화입니다.

문제는 분포입니다. 유출된 PIN을 분석하면, 몇 안 되는 코드(1234, 0000, 1111, 출생 연도, 123456)가 실제 선택의 상당 부분을 차지한다는 결과가 꾸준히 나옵니다. 공격자는 그것부터 시도합니다.

영숫자 비밀번호

자리마다 약 70개의 문자를 쓸 수 있다면, 문자 하나가 약 6비트를 더합니다. 진짜 무작위인 10자리 비밀번호는 어떤 PIN이나 실용적인 패턴보다 조합이 많습니다. 문제는 기억입니다. 사람들은 단어, 이름, 예측 가능한 치환을 고르며, 긴 비밀번호는 하루에도 여러 번 휴대폰으로 입력하기 번거롭습니다.

패턴: 이론과 사람의 차이

여기서는 솔직함이 중요합니다. 이론상 패턴의 수는 엄청나게 들릴 수 있습니다. 전통적인 Android 3×3 격자(점 4~9개, 같은 점 재사용 불가)에는 유효한 패턴이 389,112개 있어 5자리 PIN보다 많습니다. 점이 25개인 5×5 격자라면 이론상 수는 훨씬 더 큽니다.

실제 패턴은 이 숫자보다 훨씬 약합니다. Android 패턴에 대한 연구는 사람들이 다음과 같이 한다는 사실을 거듭 확인했습니다.

• 우연으로 예상되는 것보다 훨씬 자주 왼쪽 위 모서리에서 시작합니다.
• 최소 길이에 가까운 짧은 패턴을 그립니다.
• 글자(L, Z, S, C, U, N)나 단순한 사각형을 따라 그립니다.
• 글을 읽는 방향처럼 왼쪽에서 오른쪽, 위에서 아래로 움직입니다.

이 때문에 사람이 고른 일반적인 3×3 패턴의 실효 강도는 이론상 최대치보다는 짧은 PIN에 가깝습니다. 격자가 커져도 실제로 활용해야 의미가 있습니다. 5×5 격자 위의 6개 점짜리 ‘L’은 여전히 추측하기 쉽습니다.

패턴을 강하게 만드는 것은 다른 모든 비밀과 같습니다. 길이와 예측 불가능성입니다. 5×5 격자에서 방향을 여러 번 바꾸고, 모서리에서 시작하지 않으며, 글자 모양이 아니고, 가능하면 자기 경로를 가로지르는 8~12개 점의 패턴은 정말로 추측하기 어렵습니다. 비슷한 모양(실제 패턴은 절대 아님)을 패턴 강도 검사기로 테스트해 볼 수 있습니다.

추측 횟수만큼 추측 속도도 중요합니다

조합의 수는 이야기의 절반일 뿐입니다. 나머지 절반은 공격자가 얼마나 빨리 시도할 수 있느냐입니다. iPhone에서는 Secure Enclave가 기기 암호 입력에 점점 길어지는 지연을 강제합니다. 앱 안에서의 방어는 보통 키 파생입니다. Velcrypt는 모든 패턴을 최소 600,000회 반복의 PBKDF2로 처리해 추측 한 번 한 번을 일부러 느리게 만듭니다. 이 단계가 왜 암호 자체보다 중요한지는 AES-256 암호화 설명에서 다룹니다.

엿보기와 화면 자국

어깨너머 엿보기란 누군가 내가 잠금을 해제하는 모습을 지켜보는 것입니다. 휴대폰을 열어 보고 싶은 사람은 대개 바로 옆에 앉아 있기 때문에, 현실에서 가장 흔한 공격입니다.

• 패턴은 가장 엿보기 쉽습니다. 모양은 테이블 건너편에서도 한눈에 기억됩니다.
• PIN은 중간 정도로 엿보기 쉽습니다. 특히 한 손 엄지로 누르는 4자리는 더 그렇습니다.
• 비밀번호는 길고 키보드 배열이 바뀌기 때문에 한 번 봐서는 알아내기 어렵습니다.
• 생체 인증은 엿볼 수가 없습니다.

자국 공격은 손가락이 유리에 남긴 기름 자국을 읽어 냅니다. 이어진 선은 이어진 흔적을 남기므로, PIN보다 패턴이 더 취약합니다. 자기 경로를 가로지르거나, 되돌아가거나, 점을 모호한 순서로 지나는 패턴은 자국으로 재구성하기 훨씬 어렵습니다.

실용적인 방어법: 화면을 다른 쪽으로 기울이고, 다른 손으로 가리고, 가끔 화면을 닦고, 민감한 앱은 혼자 있을 때 여세요.

강제 잠금 해제: 대부분의 비교가 건너뛰는 질문

생체 인증에는 어떤 기술로도 없앨 수 없는 약점이 있습니다. 내가 참여할 필요가 없다는 점입니다. 누군가 내가 자는 동안 휴대폰을 얼굴에 갖다 대거나, 손가락을 센서에 누르거나, 물리적으로 강요할 수 있습니다. 가정 내 상황, 파티, 강도 상황에서 이는 현실적인 위험입니다.

어떤 곳에서는 당국이 법적으로 지문이나 얼굴 제공을 요구할 수 있으면서도, 기억한 코드는 다르게 취급하기도 합니다. 법적 상황은 나라마다 크게 다르고 시간에 따라 바뀌어 왔으므로, 이 가이드는 법률 조언을 하지 않습니다. 기술적인 요점은 간단합니다. 기억 속의 비밀은 나의 결정이 필요하지만, 신체 일부는 그렇지 않습니다.

Face ID를 쓴다면 비상 탈출구를 알아 두세요. iPhone 8 이후 모델에서 측면 버튼과 음량 버튼 중 하나를 전원 끄기/SOS 화면이 나타날 때까지 길게 누른 뒤 취소하면, 암호를 입력할 때까지 Face ID와 Touch ID가 일시적으로 비활성화됩니다. 언제 이것이 중요한지는 국경 통과 시 휴대폰 개인 정보 보호를 참고하세요.

한눈에 비교

	4자리 PIN	6자리 PIN	긴 비밀번호	패턴(5×5, 점 8개 이상)	Face ID / Touch ID
가능한 조합	10,000	1,000,000	무작위라면 매우 많음	이론상 매우 많음, 예측 가능한 모양은 훨씬 적음	해당 없음
실제 추측 가능성	높음(흔한 코드)	보통	무작위라면 낮음	불규칙하면 낮음, 글자 모양이면 높음	매우 낮음
어깨너머 엿보기	쉬움	보통	어려움	쉬움	불가능
자국 노출	일부	일부	낮음	경로가 교차하지 않으면 높음	없음
동의 없이 사용 가능	아니요	아니요	아니요	아니요	예
속도와 편의성	빠름	빠름	휴대폰에서는 느림	빠름	가장 빠름

계층마다 알맞은 잠금 고르기

모든 것에 잠금 하나만 고를 필요는 없습니다. 대부분의 사람에게 합리적인 구성은 다음과 같습니다.

1. 기기: 6자리(또는 그 이상) 암호를 쓰고, 상황이 허락한다면 편의를 위해 Face ID나 Touch ID를 함께 씁니다.
2. 개인 콘텐츠: 기기 암호와 다른 별도의 비밀을 씁니다. 그래야 내 암호를 알아내거나 엿본 사람이 자동으로 모든 것을 얻지 못합니다.
3. 압박받을 수 있는 장소에 있을 때를 대비해 생체 인증을 빠르게 끄는 방법을 알아 둡니다.

Velcrypt의 경우

Velcrypt는 의도적인 선택을 합니다. 금고에 들어가는 유일한 방법은 5×5 점 격자 위의 패턴으로, 최소 6개의 점을 지나고 최소 한 번 방향을 바꾸는 한 번의 연속된 선입니다. 8~12개 점의 더 긴 패턴을 권장합니다. 패턴은 내 몸에서 가져갈 수 없기 때문에 Face ID나 Touch ID는 없습니다.

이 설계는 ‘추측’의 의미도 바꿉니다. 패턴마다 각각의 금고이며, Velcrypt가 처음 보는 패턴은 오류 메시지 없이 빈 금고를 엽니다. 즉 틀린 추측이 틀렸다고 드러나지 않으며, 두 번째 패턴으로 위장 금고를 둘 수 있습니다. 숨겨진 금고 페이지에서 이 모델을 설명하고, 보안 개요에서는 패턴 그리는 모습을 누군가 지켜보는 경우를 포함해 막을 수 없는 것을 정리합니다.