비밀번호 생성기 (안전한 랜덤 암호)

‘무작위’에도 종류가 있다

비밀번호 생성기에서 가장 중요한 건 화려한 옵션이 아니라 난수의 품질입니다. 프로그래밍에서 흔히 쓰는 Math.random 은 게임이나 애니메이션엔 충분하지만, 예측 가능합니다 — 이전 값들을 보면 다음 값을 추정할 수 있어, 비밀번호에 쓰면 위험합니다.

그래서 이 도구는 브라우저의 crypto.getRandomValues 를 씁니다. 운영체제의 엔트로피를 끌어와 만드는 암호학적으로 안전한 난수라, 생성된 비밀번호를 되짚어 예측할 수 없습니다. 겉보기엔 둘 다 “무작위”지만, 보안에서는 이 차이가 전부입니다.

길이가 특수문자보다 세다

많은 사람이 P@ss! 처럼 특수문자를 욱여넣으면 강해진다고 믿습니다. 절반만 맞습니다. 비밀번호의 강도는 엔트로피(비트)로 재는데, 공식은 대략 이렇습니다.

엔트로피(비트) ≈ 길이 × log2(문자 풀 크기)

소문자만(26) 8자   →  8 × 4.7  ≈ 37비트  (약함)
전체(94) 8자        →  8 × 6.6  ≈ 52비트  (보통)
전체(94) 16자       → 16 × 6.6  ≈ 105비트 (매우 강함)

보다시피 길이를 늘리는 게 문자 종류를 늘리는 것보다 대개 효과가 큽니다. 특수문자 한 종류를 더하면 풀 크기가 조금 커지지만, 길이는 곱해지는 값이라 몇 자만 늘려도 비트가 껑충 뜁니다. 이 도구가 강도 막대를 ‘길이에 민감하게’ 보여 주는 이유입니다.

각 종류를 한 번씩 보장하는 이유

많은 사이트가 “대문자·숫자·기호를 각각 하나 이상” 넣으라고 요구합니다. 순수 무작위로 만들면 짧은 비밀번호에서 우연히 한 종류가 빠질 수 있습니다. 그래서 이 도구는 선택한 종류마다 최소 한 글자를 먼저 넣고, 나머지를 채운 뒤 전체를 섞습니다. 섞지 않으면 “소문자-대문자-숫자-기호…” 순서가 고정돼 오히려 예측 가능해지므로, Fisher–Yates 셔플로 자리를 무작위화합니다.

‘헷갈리는 글자 제외’의 득과 실

0과 O, 1과 l·I, 파이프(|)는 폰트에 따라 거의 똑같아 보입니다. 비밀번호를 다른 기기에 손으로 옮겨 적어야 할 때 이 글자들은 오류의 원인입니다. 그래서 제외 옵션을 뒀습니다. 대신 문자 풀이 조금 작아져 같은 길이의 엔트로피는 미세하게 낮아집니다. 관리자에 저장해 자동 입력할 거라면 꺼도 되고, 눈으로 옮길 일이 있으면 켜는 편이 안전합니다.

만든 다음이 더 중요하다

• 외우지 말고 저장하세요. 길고 무작위인 비밀번호는 사람이 못 외웁니다. 비밀번호 관리자에 맡기는 게 정석입니다.
• 사이트마다 다르게. 재사용하면 한 곳이 뚫릴 때 전부 뚫립니다.
• 중요 계정엔 2단계 인증을. 비밀번호가 아무리 강해도 유출될 수 있으니, 은행·이메일엔 OTP·패스키를 함께 쓰세요.

정리하면

• 난수의 품질이 핵심입니다. crypto 로 만들고, 브라우저 밖으로 안 나갑니다.
• 길이를 먼저 늘리세요. 엔트로피는 길이에 곱으로 반응합니다.
• 만든 뒤 관리가 반입니다. 저장·비재사용·2단계 인증.