비밀번호 생성기

비밀번호 강도는 길이와 엔트로피(무작위성) 두 가지 요소로 결정됩니다. 엔트로피는 비트로 측정됩니다. 각 비트는 가능한 조합 수를 두 배로 늘립니다. 대문자, 소문자, 숫자, 기호를 사용하는 12자 비밀번호는 약 78비트의 엔트로피를 가지며, 이는 대략 10^23개의 가능한 조합을 의미합니다. 현대 GPU는 초당 수십억 개의 비밀번호를 테스트할 수 있으므로 78비트 비밀번호를 크랙하는 데 수천 년이 걸립니다. 그러나 많은 웹사이트는 충분한 길이를 요구하지 않으면서 복잡성 규칙(특수 문자 요구)을 강제하여 사용자가 실제로는 길고 단순한 비밀번호보다 약한 짧지만 복잡한 비밀번호를 만들게 합니다.

엔트로피 공식은 bits = log2(charset_size) * length입니다. 예를 들어, 94개의 인쇄 가능 ASCII 문자를 모두 사용하는 16자 비밀번호는 log2(94) * 16 ≈ 105비트의 엔트로피를 가집니다. 이는 현재 또는 예견 가능한 기술로는 크랙할 수 없는 것으로 간주됩니다. 저희 생성기는 Web Crypto API의 crypto.getRandomValues() 함수를 사용하며, 이는 운영 체제의 안전한 난수 소스에서 엔트로피를 가져옵니다. TLS 키 생성 및 디스크 암호화에 사용되는 것과 동일한 소스입니다. 이는 시드가 알려지면 예측할 수 있는 의사 난수 생성기(PRNG)를 사용하는 Math.random()과 근본적으로 다릅니다.

길이가 복잡성보다 훨씬 중요합니다. 비밀번호에 문자 하나를 추가하는 것이 문자를 기호로 대체하는 것보다 더 많은 엔트로피를 추가합니다. 소문자만 사용하는 20자 비밀번호(log2(26) * 20 ≈ 94비트)가 모든 문자 유형을 사용하는 12자 비밀번호(log2(94) * 12 ≈ 79비트)보다 강합니다. 이것이 NIST 가이드라인(SP 800-63B)이 복잡한 비밀번호보다 긴 비밀번호를 권장하고 많은 서비스가 복잡성 요구 사항을 폐지하고 길이 최솟값을 채택한 이유입니다.

모든 계정에 고유한 비밀번호를 사용하세요. 비밀번호 재사용은 가장 큰 보안 위험입니다. 한 서비스가 침해되면 공격자가 다른 서비스에서 동일한 비밀번호를 시도합니다(자격 증명 스터핑). 비밀번호 관리자(Bitwarden, 1Password, KeePass)는 모든 비밀번호를 암호화된 금고에 저장하여 이를 실용적으로 만듭니다. 하나의 강력한 마스터 비밀번호만 기억하면 됩니다. 대부분의 비밀번호 관리자에는 모든 길이와 복잡성의 비밀번호를 생성할 수 있는 내장 생성기가 있습니다.

비밀번호 관리자의 마스터 비밀번호로 패스프레이즈 사용을 고려하세요. 패스프레이즈는 'correct-horse-battery-staple'과 같은 무작위 단어의 시퀀스입니다. 2000단어 목록에서 4단어 패스프레이즈는 약 44비트의 엔트로피를 가지며, 마스터 비밀번호로 충분하며 무작위 문자열보다 기억하고 입력하기 훨씬 쉽습니다. 다른 모든 계정의 경우 서비스가 허용하는 가장 긴 무작위 비밀번호를 사용하고 비밀번호 관리자가 기억하게 하세요.

가능한 모든 곳에서 2단계 인증(2FA)을 활성화하세요. 가장 강력한 비밀번호도 피싱, 키로거 또는 데이터 유출로 인해 손상될 수 있습니다. 2FA는 두 번째 방어선을 추가합니다. 일반적으로 인증자 앱(Google Authenticator, Authy)의 코드나 하드웨어 키(YubiKey)입니다. SMS 기반 2FA는 없는 것보다 낫지만 SIM 스와핑 공격에 취약합니다. 최대 보안을 위해 TOTP(시간 기반 일회용 비밀번호) 또는 하드웨어 키를 선호하세요.