비밀번호 생성기 가이드: 강력한 비밀번호, 패스프레이즈, 엔트로피의 의미

비밀번호 생성기 사용법

모든 과정은 한 화면에서, 내 기기 안에서 이뤄져요. 맨 위에서 비밀번호와 패스프레이즈 중 하나를 고르세요. 비밀번호라면 길이 막대를 4자부터 64자까지 원하는 만큼 움직이고 대문자, 소문자, 숫자, 특수문자 중 넣을 종류를 켭니다. 켠 종류는 반드시 한 글자 이상 들어가므로 "대문자·숫자·특수문자 포함" 같은 사이트 규칙도 걱정 없어요. 비밀번호를 소리 내어 불러 주거나 화면을 보고 입력할 일이 있다면 "헷갈리는 글자 빼기"를 켜서 0, O, 1, l, I 를 빼세요.

패스프레이즈라면 단어 수(3~8개), 단어 사이 구분 기호, 첫 글자 대문자와 숫자 넣기 여부를 고릅니다. "1개"나 "5개 한꺼번에"를 고른 뒤 만들기를 누르면 돼요. 결과마다 복사 버튼이 있고, 아래 강도 막대에 엔트로피 비트 수, 강도 등급, 해킹 예상 시간이 나와요.

• 비밀번호 또는 패스프레이즈를 고른다.
• 길이나 단어 수를 정한다.
• 문자 종류, 또는 구분 기호와 옵션을 고른다.
• 만들기를 누르고 마음에 드는 것을 복사한다.
• 바로 비밀번호 관리자에 저장한다.

강한 비밀번호의 조건

강도는 비밀번호가 얼마나 복잡해 보이느냐가 아니라, 공격자가 시도해야 하는 경우의 수가 얼마나 많으냐로 정해져요. P@ssw0rd! 는 어지러워 보이지만 해킹 도구는 흔한 단어에 뻔한 치환을 섞은 것부터 시도하기 때문에 몇 초 만에 뚫립니다. 진짜 무작위 문자열은 달라요. 글자 하나하나가 독립적으로 정해지고, 한 글자 늘 때마다 경우의 수가 곱절로 늘어나요. 그래서 꾀보다 길이가 중요합니다. 무작위 12자를 16자로 늘리기만 해도 맞히기가 수천만 배 어려워져요.

또 하나는 무작위성이에요. 사람은 생일, 반려동물 이름, qwerty 같은 자판 순서, 모든 사이트에 같은 패턴을 쓰고, 공격자는 이런 습관을 다 알고 있어요. 이 생성기는 브라우저의 암호학적 난수(crypto.getRandomValues)와 "거부 샘플링" 기법을 써서 허용된 모든 글자가 정확히 같은 확률로 나오게 합니다. 배울 패턴도, 파고들 치우침도 없어요.

마지막은 재사용하지 않기예요. 아무리 완벽한 비밀번호도 여러 곳에 쓰는 순간 약해져요. 한 사이트가 유출되면 공격자는 그 비밀번호를 다른 모든 사이트에 넣어 보기 때문이에요. 계정 하나에 비밀번호 하나.

패스프레이즈: 강하면서도 외우기 쉬운 비밀번호

패스프레이즈는 무작위 단어 몇 개를 이어 붙인, 말이 안 되는 짧은 문장 같은 비밀번호예요. 핵심은 단어를 내가 아니라 우연이 골라야 한다는 점이에요. 노래 가사나 명언은 전혀 무작위가 아니에요. 이 생성기는 앱에 들어 있는 짧은 영어 단어 2,048개 중에서 단어를 하나씩 고르므로 단어 하나가 정확히 11비트의 엔트로피를 더해요. 5단어면 55비트, 6단어면 66비트, 무작위 숫자를 넣으면 몇 비트가 더해집니다.

패스프레이즈는 꼭 직접 입력하거나 외워야 하는 몇 안 되는 비밀번호에 잘 맞아요. 비밀번호 관리자의 마스터 비밀번호, 컴퓨터 로그인, 휴대폰 백업 암호 같은 것들이죠. 길어서 강하고, 실제 단어라서 휴대폰 자판으로도 기호 덩어리보다 훨씬 입력하기 쉬워요. 첫 글자를 대문자로 바꾸는 것은 패턴이 뻔해서 강도를 높이지는 않지만, 대문자를 꼭 요구하는 사이트에서는 쓸모가 있어요.

엔트로피와 해킹 예상 시간, 쉽게 이해하기

엔트로피는 비트 단위로, 비밀번호가 똑같은 확률의 경우 몇 가지 중에서 뽑혔는지를 나타내요. 1비트가 늘 때마다 경우의 수가 두 배가 되므로 60비트는 약 115경 가지, 80비트는 그보다 100만 배쯤 많아요. 강도 막대는 이 값을 설정에서 정확히 계산해요. 비밀번호는 고른 길이에서 고른 종류가 모두 한 글자 이상 들어간 문자열의 수를 세고, 패스프레이즈는 단어 선택 수에 숫자의 위치와 값까지 곱해서 구해요.

해킹 예상 시간은 초당 100억 번을 대입하는 빠른 오프라인 공격을 가정해요. 허술하게 보호된 유출 비밀번호 데이터베이스를 최신 그래픽카드 한 장으로 공격할 때 충분히 낼 수 있는 속도예요. 공격자는 평균적으로 경우의 수의 절반을 시도했을 때 비밀번호를 맞혀요. 또 공격자가 내가 고른 설정을 정확히 안다고 가정하므로 결과를 부풀리지 않아요. 대략 45비트 미만은 약함, 45~60은 보통, 60~80은 강함, 80 이상은 아주 강함이에요.

• 한 번 쓰고 버릴 계정, 중요하지 않은 계정: 45~60비트
• 쇼핑·SNS 같은 일상 계정: 60~80비트
• 이메일·은행·회사 계정·비밀번호 관리자: 80비트 이상

비밀번호 관리자와 2단계 인증

수십 개의 서로 다른 무작위 비밀번호를 다 외울 수 있는 사람은 없고, 외우려 할 필요도 없어요. 비밀번호 관리자는 비밀번호를 암호화된 금고에 보관하고, 맞는 사이트에서 자동으로 채워 주고, 재사용되거나 유출된 비밀번호를 알려 줘요. 여기서 강력한 비밀번호를 만들어 계정을 만들거나 바꿀 때 관리자에 붙여 넣으면, 다시 볼 일이 없어요. 관리자 자체는 직접 외우는 긴 패스프레이즈로 지키세요.

2단계 인증(2FA)은 인증 앱 코드, 패스키, 보안 키 같은 두 번째 단계를 더해요. 비밀번호가 유출돼도 공격자는 로그인할 수 없어요. 다른 계정 대부분이 이메일로 비밀번호를 재설정하므로 이메일부터 켜 두세요.

• 계정마다 다른 비밀번호를 쓴다.
• 비밀번호는 메모장·채팅·스크린숏이 아니라 비밀번호 관리자에 둔다.
• 2단계 인증이나 패스키를 제공하는 곳은 모두 켠다. 이메일부터.
• 서비스에서 유출 소식이 오면 바로 비밀번호를 바꾼다.
• 비밀번호를 메시지나 메일로 보내지 않고, 예상치 못한 로그인 링크는 의심한다.