비밀번호 생성기

길이와 문자 집합별 엔트로피

엔트로피가 실제로 의미하는 것

• 40비트: 오늘날 단일 GPU로 며칠 안에 깨질 수 있습니다. 임시 계정 정도에만 적합합니다.
• 60비트: 온라인 공격에는 버티지만, 전용 오프라인 크래킹에는 취약합니다.
• 80비트: 현재 하드웨어 기준 오프라인 크래킹에 강합니다.
• 100비트: 양자 컴퓨팅이 성숙하기 전까지는 사실상 공격할 가치가 없습니다.
• 128비트: AES-128 키 강도와 비슷합니다.

대부분의 온라인 계정에는 전체 문자 집합에서 만든 16자 비밀번호(105비트)면 충분합니다. 은행 계정, 비밀번호 관리자 마스터, 암호화폐 지갑, 전체 디스크 암호화에는 20자 이상을 권장합니다.

문자 클래스가 중요한 이유

각 클래스는 문자 하나당 선택지를 늘립니다. 소문자 26개만 쓰면 한 문자는 log₂(26) = 4.7비트를 제공합니다. 대문자를 더하면 52자로 늘어 문자당 5.7비트가 됩니다. 숫자를 더하면 62자, 5.95비트가 됩니다. 기호까지 더하면 94자, 6.55비트에 도달합니다. 16자 전체에서는 이 차이가 약 30비트로 쌓이며, 이는 “깰 수 있음”과 “시도할 가치가 없음”의 차이입니다.

헷갈리는 문자를 제외해야 할 때

복사와 붙여넣기가 어려워 화면에서 장치로 직접 입력해야 하는 경우가 있습니다. 콘솔 설치 화면, 일부 하드웨어 지갑, 소리 내어 읽어 주는 상황 등이 그렇습니다. 이때 0, O, 1, l, I를 제외하면 전사 오류를 줄일 수 있습니다. 엔트로피 손실은 80비트 이상 중 보통 2-3비트로 작습니다.

비밀번호 관리자 사용 흐름

1. Bitwarden, 1Password, KeePass 같은 비밀번호 관리자를 설치합니다.
2. 무작위 단어 6-8개로 강력한 마스터 패스프레이즈를 설정합니다. 패스프레이즈 생성기를 활용해도 됩니다.
3. 사이트마다 관리자 내장 생성기를 사용하고 강력한 기본 설정을 유지합니다.
4. 임시로 보이는 계정이라도 사이트 간 비밀번호를 재사용하지 않습니다.
5. 지원하는 모든 서비스에서 2FA를 켭니다.

직접 입력하는 비밀번호는 드물어야 합니다. 비밀번호 관리자 마스터, 전체 디스크 암호화, 경우에 따라 업무용 컴퓨터 로그인 정도가 적절합니다.

도움이 되지 않는 것

• 90일마다 강제 변경. 강제 교체는 여름2024에서 가을2024 같은 예측 가능한 패턴을 만들기 쉽습니다. NIST SP 800-63B는 이를 명확히 권장하지 않습니다.
• 지갑 속 종이에 적어 두기. 약한 비밀번호를 재사용하는 것보다는 낫지만, 비밀번호 관리자보다 안전하지 않습니다.
• 실제 답을 쓰는 보안 질문. “첫 학교”는 검색으로 찾을 수 있는 경우가 많습니다. 무작위 가짜 답을 만들고 비밀번호 관리자에 저장하세요.