방글라데시 정부 웹사이트의 비밀번호 보안 요소에 관한 연구

1. 서론

'디지털 방글라데시' 이니셔티브 하에 공공 서비스의 급속한 디지털화가 진행됨에 따라, 방글라데시 정부는 온라인 서비스를 제공하기 위해 수많은 웹사이트를 출시했습니다. 그러나 이러한 플랫폼의 보안, 특히 비밀번호 메커니즘은 여전히 중요한 문제로 남아 있습니다. 본 연구는 방글라데시 정부 웹사이트 36곳을 6가지 비밀번호 보안 휴리스틱에 대해 분석하여 사이버 위협에 대한 대비 상태를 평가합니다.

2. 목차

• 1. 서론
• 3. 배경 및 관련 연구
• 4. 연구 방법론
• 5. 결과 및 분석
  • 5.1 비밀번호 구성 지침
  • 5.2 비밀번호 복구 메커니즘
  • 5.3 CAPTCHA 활용
  • 5.4 보안 질문
  • 5.5 HTTPS 도입
  • 5.6 비밀번호 강도 측정기
• 6. 통계 개요
• 7. 주요 통찰
• 8. 기술적 세부 사항 및 수학적 공식
• 9. 실험 결과 및 차트 설명
• 10. 분석 프레임워크 예시
• 11. 심층 분석
• 12. 향후 응용 및 방향
• 13. 참고 문헌
• 14. 전문가 논평

3. 배경 및 관련 연구

비밀번호는 알려진 취약점에도 불구하고 여전히 가장 널리 사용되는 인증 메커니즘입니다. 이전 연구들은 취약한 비밀번호 정책과 HTTPS 암호화 부재가 전 세계 정부 포털에서 흔한 문제임을 지적해 왔습니다. 본 연구는 방글라데시 정부 웹사이트에 특별히 초점을 맞춘 최초의 연구입니다.

4. 연구 방법론

회원 가입 및 로그인 서비스를 제공하는 방글라데시 정부 웹사이트 36곳을 선정했습니다. 각 웹사이트는 비밀번호 구성 지침, 비밀번호 복구 메커니즘, CAPTCHA 사용, 보안 질문, HTTPS 도입, 비밀번호 강도 측정기의 6가지 휴리스틱에 대해 평가되었습니다. 데이터는 수동으로 수집되고 교차 검증되었습니다.

5. 결과 및 분석

5.1 비밀번호 구성 지침

36개 웹사이트 중 단 12곳(33.3%)만이 명시적인 비밀번호 구성 지침을 제공했습니다. 나머지 24개 웹사이트(66.7%)는 어떠한 지침도 제공하지 않아 취약한 비밀번호 선택으로 이어졌습니다.

5.2 비밀번호 복구 메커니즘

28개 웹사이트(77.8%)가 이메일을 통한 비밀번호 복구를 제공한 반면, 8개 웹사이트(22.2%)는 복구 메커니즘이 없거나 수동 개입에 의존했습니다.

5.3 CAPTCHA 활용

CAPTCHA는 20개 웹사이트(55.6%)에 구현되어 있었습니다. 나머지 16개 웹사이트(44.4%)는 봇 탐지 메커니즘이 전혀 없어 자동화된 공격에 취약했습니다.

5.4 보안 질문

비밀번호 복구에 보안 질문을 사용하는 웹사이트는 9곳(25%)에 불과했습니다. 대부분의 질문은 예측 가능했으며(예: '애완동물 이름은 무엇입니까?'), 최소한의 보안만 제공했습니다.

5.5 HTTPS 도입

30개 웹사이트(83.3%)가 HTTPS를 사용했지만, 6개 웹사이트(16.7%)는 여전히 HTTP로 운영되어 자격 증명을 평문으로 전송했습니다.

5.6 비밀번호 강도 측정기

실시간 비밀번호 강도 측정기를 제공하는 웹사이트는 10곳(27.8%)에 불과했습니다. 이러한 피드백의 부재는 취약한 비밀번호 선택에 기여합니다.

6. 통계 개요

7. 주요 통찰

• 대다수의 웹사이트에 비밀번호 구성 지침이 없어 취약한 비밀번호로 이어집니다.
• CAPTCHA 도입이 불충분하여 웹사이트가 무차별 대입 공격 및 자동화된 공격에 노출됩니다.
• HTTPS 도입은 비교적 높지만 보편적이지 않아 데이터 가로채기 위험이 있습니다.
• 비밀번호 강도 측정기가 충분히 활용되지 않아 사용자를 안내할 기회를 놓치고 있습니다.

8. 기술적 세부 사항 및 수학적 공식

비밀번호 엔트로피 $H$는 $H = L \cdot \log_2(N)$로 계산됩니다. 여기서 $L$은 비밀번호 길이, $N$은 가능한 문자 수입니다. 62개 문자(a-z, A-Z, 0-9)를 사용하는 길이 8의 비밀번호의 경우 엔트로피는 $H = 8 \cdot \log_2(62) \approx 47.6$ 비트입니다. 저위험 시스템에는 최소 30비트의 엔트로피가 권장되며, 민감한 데이터에는 50비트 이상이 권장됩니다.

9. 실험 결과 및 차트 설명

차트 1: 휴리스틱 도입률 - 각 휴리스틱을 구현한 웹사이트의 비율을 보여주는 막대 차트입니다. HTTPS 도입이 83.3%로 선두를 차지한 반면, 보안 질문은 25%로 가장 낮습니다. 차트는 보안 관행의 격차를 명확하게 보여줍니다.

차트 2: 비밀번호 강도 분포 - 웹사이트의 60%가 8자 미만의 비밀번호를 허용하고, 30%는 8-12자를 요구하며, 단 10%만이 12자 이상을 강제한다는 것을 보여주는 원형 차트입니다.

10. 분석 프레임워크 예시

사례 연구: 웹사이트 X (익명)

• 비밀번호 지침: 제공되지 않음.
• 복구: 이메일 기반, 보안 질문 없음.
• CAPTCHA: 구현되지 않음.
• HTTPS: 예.
• 강도 측정기: 없음.
• 위험 수준: 높음 - 무차별 대입 공격 및 피싱 공격에 취약.

11. 심층 분석

본 연구는 방글라데시 전자정부 보안에서 정책과 실제 사이의 우려스러운 격차를 드러냅니다. 정부가 서비스 디지털화에 진전을 이루었지만, 지침, CAPTCHA, 강도 측정기와 같은 기본적인 비밀번호 보안 조치의 부재는 사이버 위험에 대한 체계적인 과소평가를 나타냅니다. 16.7%의 웹사이트가 여전히 HTTP를 사용하는 것은 특히 우려스러운데, 이는 중간자 공격을 통해 사용자 자격 증명이 가로채질 위험에 노출되기 때문입니다. 세계은행의 2021년 보고서에 따르면, 개발도상국은 사이버 범죄로 인해 연간 GDP의 약 0.5%를 손실하며, 이 수치는 개입 없이는 증가할 수 있습니다. 연구 결과는 Herley와 van Oorschot(2012)의 비밀번호 보안 경제학에 대한 광범위한 연구와 일치하며, 이는 사용자 행동이 시스템 설계에 크게 영향을 받는다고 주장합니다. 강도 측정기와 지침의 부재는 사실상 보안 부담을 종종 전문 지식이 부족한 사용자에게 전가합니다. 인도와 파키스탄의 유사한 연구와의 비교 분석에 따르면, 방글라데시는 CAPTCHA 도입(55.6% 대 인도 70%)에서 뒤쳐지지만 HTTPS 사용(83.3% 대 파키스탄 65%)에서는 앞섭니다. 이는 인프라 투자는 이루어지고 있지만 사용자 대면 보안 기능은 소홀히 되고 있음을 시사합니다. 개선을 위해 정부는 최소 비밀번호 기준을 의무화하고, 모든 도메인에 HTTPS를 적용하며, CAPTCHA를 기본 요구 사항으로 통합해야 합니다. 구현 비용은 침해로 인한 잠재적 손실에 비해 미미합니다.

12. 향후 응용 및 방향

향후 연구는 다중 요소 인증(MFA) 도입, 비밀번호 해싱 알고리즘, 세션 관리 관행을 포함하도록 휴리스틱 세트를 확장해야 합니다. 시간 경과에 따른 변화를 추적하는 종단 연구는 정책 개입의 영향을 측정하는 데 도움이 될 것입니다. 또한, 방글라데시 시민들의 비밀번호 행동에 대한 사용자 중심 연구는 더 나은 설계 지침을 제공할 수 있습니다. 생체 인증 및 비밀번호 없는 시스템(예: WebAuthn)의 통합은 사용성을 저하시키지 않으면서 보안을 강화하기 위한 유망한 방향을 나타냅니다.

13. 참고 문헌

1. Herley, C., & van Oorschot, P. (2012). A research agenda acknowledging the persistence of passwords. IEEE Security & Privacy, 10(1), 28-36.
2. World Bank. (2021). Cybersecurity and Economic Development: A Global Perspective. Washington, DC.
3. Florencio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th International Conference on World Wide Web, 657-666.
4. Bonneau, J., et al. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. IEEE Symposium on Security and Privacy, 553-567.
5. Bangladesh Computer Council. (2020). National Cybersecurity Strategy 2020-2025. Dhaka.

14. 전문가 논평