비밀번호 강도 검사기

체크리스트 점수가 보상하는 것

판정은 0에서 6까지의 간단한 점수에서 나옵니다. 아래 각 항목마다 1점이 더해집니다:

길이는 6점 중 3점을 혼자서 차지합니다. 실제 강도에서 길이가 가장 큰 단일 요인이기 때문입니다.

엔트로피와 크랙 시간은 어떻게 추정되나요

엔트로피는 모든 문자가 무작위라고 가정했을 때 비밀번호를 설명하는 데 필요한 비트 수입니다: length × log2(alphabet size). 문자 집합 크기는 사용한 종류를 합산합니다: 소문자 26, 대문자 26, 숫자 10, 일반 기호 33이므로, 네 종류를 모두 쓰는 비밀번호는 가능한 95개 문자에서 뽑아냅니다.

크랙 시간 추정치는 이미 탈취한 해시를 보유한 오프라인 공격자가 빠른 소비자용 GPU에서 초당 약 100억(10^10) 회 추측할 수 있다고 가정합니다. 이 수치는 MD5나 SHA-1처럼 약하고 빠른 해시에 해당합니다. bcrypt나 Argon2처럼 일부러 느리게 설계된 해시는 그 속도를 수백만 분의 1로 낮추므로, 같은 비밀번호라도 그런 해시를 쓰는 곳에서는 훨씬 안전합니다.

이 도구가 검사하는 것과 검사하지 않는 것

• 검사하는 것: 길이, 존재하는 문자 종류, 순수 비트 단위 엔트로피, 그리고 그 엔트로피에서 나오는 크랙 시간 추정치.
• 검사하지 않는 것: 사전 단어, 유출된 비밀번호 목록, 키보드 배열 패턴(qwerty, 1qaz2wsx), 흔한 치환(p@ssw0rd)과의 비교. 비밀번호가 모든 문자 종류 검사를 통과하더라도, 그것이 알려진 단어이거나 유출된 비밀번호라면 여전히 쉽게 추측될 수 있습니다.

점수는 보장이 아니라 최소 기준으로 보세요: 비밀번호가 너무 짧거나 너무 단순한지는 알려주지만, 높은 점수가 그 비밀번호를 예측 불가능하다고 증명하지는 않습니다.

실제로 비밀번호를 강하게 만드는 것

1. 길이가 먼저다. 문자 하나를 추가하는 것이 다른 어떤 단일 변경보다 가치가 큽니다. 14자 무작위 비밀번호는 8자 복잡한 비밀번호를 언제나 이깁니다.
2. 무작위성. 사람은 머릿속에서 형편없는 엔트로피를 만들어냅니다. 문자는 생성기가 고르게 하세요.
3. 다양성을 분산하라. 숫자와 기호를 끝에만 붙이지 말고 아무 데나 넣으세요. 크래커는 끝을 예상합니다.
4. 사이트마다 하나씩. 50개 계정에 재사용한 강력한 비밀번호는 그것을 저장한 가장 약한 사이트만큼만 안전합니다.

안전한 권장 사항

• 비밀번호 관리자를 사용해 사이트마다 고유한 16자 이상 무작위 비밀번호를 만들고 저장하세요.
• 패스프레이즈를 사용하세요. 관리자의 마스터 비밀번호처럼 손으로 직접 입력해야 하는 몇 안 되는 비밀번호에는 무작위 단어 5~8개를 쓰세요.
• 2단계 인증(2FA)을 켜세요. 제공되는 모든 곳에서요.
• pwnedpasswords.com을 확인하세요. 이 도구는 당신의 비밀번호가 이미 유출됐는지 알 수 없으므로, 어떤 비밀번호든 계속 재사용하기 전에 확인하세요.