약한비밀번호정책(Weak Password Policy)

1

웹 애플리케이션 내 추측 가능한 계정이나 비밀번호를 통하여 로그인이 가능한 계정이 존재 여부 확인

1

회원가입 및 사용자 정보 수정 페이지 내 비밀번호 설정 시 높은 복잡도를 요구하는지 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

public static boolean isValid(String password) {
    if (password == null || password.length() < 8) {
        return false;
    }

    boolean hasUpperCase = !password.equals(password.toLowerCase());
    boolean hasLowerCase = !password.equals(password.toUpperCase());
    boolean hasDigit = password.matches(".*\\d.*");
    boolean hasSpecial = !password.matches("[A-Za-z0-9]*");

    int categoryCount = 0;
    if (hasUpperCase) categoryCount++;
    if (hasLowerCase) categoryCount++;
    if (hasDigit) categoryCount++;
    if (hasSpecial) categoryCount++;

    // 최소 3종류 이상 조합
    return categoryCount >= 3;
}

1
2
3
4
5
6
7

// 비밀번호 입력 실패 3회 초과 시 계정 잠금
if (failedAttempts >= 3) {
    account.setLocked(true);
    account.setLockTime(LocalDateTime.now());
    accountRepository.save(account);
    throw new AccountLockedException("계정이 잠겼습니다. 관리자에게 문의하세요.");
}

1
2
3
4
5
6

// 자주 사용되는 비밀번호 목록 (예: 10,000개 비밀번호)
private Set<String> commonPasswords = loadCommonPasswords();

public boolean isCommonPassword(String password) {
    return commonPasswords.contains(password.toLowerCase());
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

[비밀번호 정책]

1. 길이: 최소 8자 이상
2. 조합: 다음 4종류 중 최소 3종류 포함
   - 영문 대문자 (A-Z)
   - 영문 소문자 (a-z)
   - 숫자 (0-9)
   - 특수문자 (!@#$%^&* 등)
3. 금지: ID와 동일한 비밀번호, 연속된 숫자, 생일, 전화번호
4. 유효기간: 90일
5. 재사용: 최근 3개 비밀번호 재사용 금지
6. 실패 제한: 5회 연속 실패 시 계정 잠금 (30분)