현관 도어록 비밀번호를 누를 때 진짜 번호 앞뒤로 아무 숫자나 섞어 누르는 분들 계시죠? 1234가 비밀번호라면 5 8 1 2 3 4 9 0처럼 눌러도 문이 열리는 기능, 흔히 허수 기능이라고 불러요. 처음 알았을 땐 이게 오히려 보안에 구멍이 되는 거 아닌가 싶기도 해요. 그런데 이 기능은 사실 누군가 옆에서 훔쳐보거나, 키패드에 남은 지문 자국으로 비밀번호를 알아내는 걸 막기 위해 만들어졌어요. 오늘은 도어록이 허수 사이에서 진짜 비밀번호를 찾아내는 방법과, 그 보안 효과를 숫자로 따져 볼게요.
허수 기능은 모듈로 계산이 아니에요
허수 기능을 설명하는 글 중에는 도어록이 모듈로 연산 같은 수학적 검증으로 비밀번호를 확인한다는 이야기도 있어요. 하지만 일반적인 도어록의 허수 기능은 훨씬 단순한 방식이에요. 도어록은 사용자가 누른 숫자들을 순서대로 기억해 두었다가, 마지막에 확인 버튼(보통 * 나 # 또는 손잡이 쪽 버튼)을 누르면 그 숫자열 안 어딘가에 등록된 비밀번호가 끊기지 않고 연속으로 들어 있는지 확인해요. 컴퓨터 용어로 말하면 입력 문자열에서 부분 문자열을 검색하는 거예요. 5812349를 눌렀다면 그 안에 1234가 연속으로 있으니 열리고, 1 5 2 3 4처럼 중간에 다른 숫자가 끼면 열리지 않아요.
그래서 허수는 비밀번호 앞과 뒤에만 붙일 수 있고, 비밀번호 숫자 사이에 끼워 넣을 수는 없어요. 대부분의 도어록은 입력할 수 있는 전체 자릿수에 상한이 있어서, 제품에 따라 비밀번호와 허수를 합쳐 대략 십여 자리 이상 누르면 입력이 초기화되거나 실패로 처리돼요. 비밀번호 자체의 자릿수도 제품마다 4자리부터 10자리 이상까지 설정할 수 있는 범위가 달라요. 우리 집 도어록의 정확한 규칙은 설명서에서 확인해 보세요.
지문 자국으로 비밀번호를 알아내는 스머지 공격
허수 기능이 왜 필요한지 이해하려면 공격자 입장이 되어 봐야 해요. 도어록 키패드나 스마트폰 화면에는 손가락이 닿을 때마다 피지와 땀이 조금씩 묻어 자국을 남겨요. 같은 번호를 매일 누르면 그 숫자들만 유독 반들반들하거나 얼룩이 짙어지죠. 보안 연구자들은 이렇게 남은 자국으로 비밀번호를 알아내는 방법을 스머지 공격이라고 불러요. 2010년 미국 펜실베이니아대 연구진은 스마트폰 화면의 손가락 자국만으로 잠금 패턴을 높은 확률로 알아낼 수 있다는 연구를 발표해 주목받았어요. 도어록 키패드도 원리는 같아요.
숫자로 계산해 볼게요. 네 자리 비밀번호는 0000부터 9999까지 1만 가지 경우가 있어요. 아무 정보 없이 하나씩 시도하면 평균 5천 번은 눌러 봐야 하죠. 그런데 지문 자국으로 네 개의 숫자가 1, 2, 3, 4라는 것만 알아내면 이야기가 달라져요. 네 숫자가 모두 다르다면 가능한 순서는 4 × 3 × 2 × 1 = 24가지뿐이에요. 1만 가지에서 24가지로 줄어드는 거예요. 몇 번의 시도만으로 문이 열릴 수 있는 수준이죠. 비밀번호가 1123처럼 같은 숫자를 포함하면 자국은 세 개만 남지만, 경우의 수도 36가지 정도로 여전히 적어요.
허수를 섞으면 자국이 흐려져요
허수 기능은 바로 이 공격을 어렵게 만들어요. 매번 비밀번호 앞뒤로 다른 숫자를 섞어 누르면 키패드의 거의 모든 숫자에 고르게 자국이 남아요. 공격자는 열 개 숫자 중 어떤 네 개가 진짜인지 알 수 없게 되죠. 열 개 중 네 개를 고르는 조합만 210가지이고, 각각의 순서까지 따지면 경우의 수는 다시 1만 가지 가까이로 돌아가요. 옆에서 훔쳐보는 숄더 서핑에도 효과가 있어요. 누르는 숫자가 길고 매번 달라지니, 한 번 보고 어디부터 어디까지가 진짜인지 기억하기 어려워요.
요즘 터치식 도어록에는 이와 비슷한 아이디어가 한 단계 더 들어간 기능도 있어요. 화면을 켜면 무작위로 숫자 두세 개가 표시되고, 그 숫자를 먼저 눌러야 비밀번호 입력이 시작되는 방식이에요. 매번 다른 위치의 숫자를 누르게 해서 화면 전체에 자국을 흩뜨리는 거죠. 숫자 배열 자체를 매번 섞어 보여 주는 제품도 있어요. 이런 기능들은 모두 사람이 매번 같은 곳만 누르는 습관을 기계가 대신 깨 주는 장치라고 볼 수 있어요.
| 상황 | 공격자가 시도해야 할 경우의 수(4자리, 숫자 모두 다를 때) | 의미 |
|---|---|---|
| 아무 정보 없음 | 10,000가지 | 무작위 시도는 매우 오래 걸림 |
| 자국으로 숫자 4개를 알아냄 | 24가지 | 몇 분이면 시도 가능 |
| 허수로 10개 숫자에 고르게 자국 | 약 5,040가지 이상 | 자국 정보가 거의 쓸모없어짐 |
| 6자리 비밀번호, 정보 없음 | 1,000,000가지 | 자릿수가 늘면 경우의 수가 10배씩 증가 |
그런데 허수 기능에도 수학적 약점이 있어요
공정하게 따지자면 허수 기능에는 반대편의 약점도 있어요. 입력한 긴 숫자열 안 어딘가에 비밀번호가 연속으로 있기만 하면 열린다는 규칙은, 공격자 입장에서 한 번 시도할 때 여러 개의 비밀번호를 동시에 시험할 수 있다는 뜻이기도 하거든요. 예를 들어 한 번에 16자리를 누를 수 있다면, 그 안에 연속된 네 자리 묶음이 13개 들어 있어요. 운이 좋으면 한 번의 시도로 13개의 후보를 확인하는 셈이에요.
수학에는 이 아이디어를 극단까지 밀어붙인 드 브루인 수열이라는 게 있어요. 0부터 9까지 숫자로 된 모든 네 자리 조합을 빠짐없이 한 번씩 포함하는 가장 짧은 숫자열로, 길이가 10,003자리예요. 이론적으로는 이 수열을 쭉 누르면 어떤 네 자리 비밀번호든 그 안 어딘가에 들어 있어요. 입력 길이 제한 때문에 실제로는 여러 번 나눠 눌러야 하지만, 16자리씩 나눈다면 대략 770번 남짓의 시도로 모든 네 자리 비밀번호를 훑을 수 있는 계산이 나와요. 허수 없이 한 번에 하나씩 시험할 때의 1만 번보다 훨씬 적죠.
다행히 도어록은 이런 공격을 막는 장치도 함께 갖고 있어요. 일정 횟수 이상 틀리면 몇 분간 입력을 막거나 경보음을 울리는 잠금 기능이에요. 예를 들어 5번 틀릴 때마다 3분씩 입력이 막힌다면, 770번을 시도하는 데 수 시간이 걸리고 그동안 경보가 계속 울리겠죠. 현관 앞에서 몇 시간 동안 버튼을 누르는 건 현실적으로 눈에 띌 수밖에 없어요. 그래서 허수 기능은 전체적으로 보면 무차별 대입 공격에 대한 약간의 약점과 맞바꿔, 훨씬 흔하고 현실적인 스머지 공격과 훔쳐보기를 막는 선택이라고 할 수 있어요.
진짜 안전을 위한 비밀번호 습관
- 비밀번호는 가능하면 6자리 이상으로 설정해요. 4자리보다 경우의 수가 100배 많아져요.
- 생일, 전화번호 끝자리, 동호수, 1234·0000 같은 추측하기 쉬운 번호는 피해요.
- 같은 숫자가 반복되는 번호보다 서로 다른 숫자를 섞어요.
- 누를 때마다 허수를 앞뒤에 다르게 붙이고, 손으로 키패드를 가려요.
- 키패드를 가끔 닦아 자국을 없애요.
- 이사하거나 번호를 알려 준 사람이 많아지면 번호를 바꿔요.
- 도어록의 연속 오입력 잠금 기능이 켜져 있는지 확인해요.
자릿수의 힘은 정말 커요. 네 자리는 1만 가지지만 여섯 자리는 100만 가지, 여덟 자리는 1억 가지예요. 한 자리 늘릴 때마다 경우의 수가 10배씩 늘어나니, 외우기 부담이 크지 않은 선에서 자릿수를 늘리는 게 가장 효과적인 보안 강화 방법이에요. 드 브루인 수열 계산도 자릿수가 늘면 필요한 길이가 10배씩 늘어나서, 여섯 자리 비밀번호를 훑으려면 100만 자리가 넘는 숫자열이 필요해요. 허수 기능의 약점도 자릿수를 늘리면 사실상 사라지는 셈이에요.
가족과 비밀번호를 나눌 때의 요령
도어록 비밀번호는 가족 모두가 알아야 하니, 보안과 편의 사이에서 균형을 잡아야 해요. 아이가 어리다면 긴 비밀번호를 외우기 어려울 수 있는데, 이때 흔히 쓰는 방법이 의미 있는 숫자로 번호를 만드는 거예요. 다만 생일이나 전화번호처럼 외부 사람도 알아낼 수 있는 정보는 피하고, 가족만 아는 사건이나 좋아하는 숫자를 조합하는 게 좋아요. 아이에게는 허수를 앞뒤로 붙이는 습관과 누를 때 손으로 가리는 습관을 함께 알려 주세요. 문을 열어 준 뒤 모르는 사람이 따라 들어오지 않는지 확인하는 것도 중요한 안전 교육이에요.
가사도우미, 택배 보관, 반려동물 돌봄처럼 가족 외의 사람이 드나들어야 할 때는 주 비밀번호를 알려 주기보다 임시 비밀번호나 일회용 비밀번호 기능을 활용하는 게 안전해요. 많은 도어록이 사용자별 비밀번호를 따로 등록하거나, 스마트폰 앱으로 일정 시간만 유효한 번호를 발급하는 기능을 지원해요. 볼일이 끝나면 해당 번호를 삭제하면 되니, 주 비밀번호를 자주 바꿀 필요가 줄어들어요. 오래 쓴 도어록이라면 등록된 카드와 비밀번호 목록을 한 번 점검해 보세요. 예전에 등록해 둔 카드나 번호가 그대로 남아 있을 수 있어요.
도어록 건전지 관리도 보안의 일부예요. 건전지가 약해지면 도어록은 보통 경고음을 울리며 교체를 알리는데, 이를 무시하고 두면 전원이 완전히 꺼져 밖에서 문을 열 수 없게 될 수 있어요. 대부분 제품은 외부 비상 단자에 9V 건전지를 대면 임시로 작동하지만, 미리 교체하는 게 가장 좋아요. 보통 1년 안팎을 교체 주기로 잡으면 무난해요.
도어록의 다른 보안 기능들
비밀번호 외에도 도어록 보안에 영향을 주는 요소가 많아요. 카드키나 스마트폰 앱, 지문 인식을 함께 쓰는 제품은 편리하지만, 각 방식마다 복제나 인식 오류 같은 고유한 위험이 있어요. 카드키는 복제가 어려운 암호화 방식인지 확인하고, 잃어버리면 즉시 등록을 삭제하세요. 외부 강제 개폐를 감지해 경보를 울리는 기능, 실내에서 문을 수동으로 잠그는 안전 고리, 건전지 방전 시 외부에서 9V 건전지로 비상 전원을 공급하는 단자 등도 알아 두면 좋아요. 무엇보다 도어록이 잠겼는지 확인하는 습관이 모든 기술보다 앞서요.
자주 묻는 질문
Q. 허수를 비밀번호 중간에 넣으면 안 되나요? A. 대부분의 도어록은 비밀번호가 연속으로 입력돼야 인식하므로 중간에 넣으면 열리지 않아요. Q. 허수를 너무 길게 누르면요? A. 제품마다 최대 입력 자릿수가 있어서, 넘기면 초기화되거나 오입력으로 처리될 수 있어요. Q. 매번 같은 허수를 붙이면요? A. 자국이 흐려지는 효과는 있지만, 훔쳐보는 사람에게는 패턴이 드러날 수 있어요. 가능하면 매번 다르게 붙이는 게 좋아요.
정리하면, 도어록 허수 기능은 모듈로 같은 복잡한 계산이 아니라 입력한 숫자열 안에 등록된 비밀번호가 연속으로 들어 있는지 확인하는 간단한 방식으로 작동해요. 이 덕분에 키패드 전체에 자국이 고르게 남아, 지문 자국만으로 1만 가지를 24가지로 줄이는 스머지 공격과 옆에서 훔쳐보기를 효과적으로 막아요. 한 번에 여러 후보를 시험할 수 있다는 약점은 오입력 잠금과 긴 비밀번호로 충분히 보완돼요. 오늘 현관 앞에서 비밀번호 자릿수와 허수 습관을 한번 점검해 보세요.