비밀번호 강도 검사 (안전도 확인)

강도의 진짜 척도는 ‘엔트로피’다

비밀번호가 얼마나 안전한지는 결국 공격자가 몇 번을 찍어야 맞히는가로 정해집니다. 이걸 수치로 나타낸 것이 엔트로피(비트)입니다.

엔트로피(비트) = 길이 × log2(문자 집합 크기)

소문자만(26종) 8자   →  8 × log2(26)  ≈ 38비트
4종 혼합(95종) 16자  →  16 × log2(95) ≈ 105비트

비트가 1 오를 때마다 후보의 수는 두 배가 됩니다. 그래서 몇 비트인지가 곧 강도입니다. 이 도구는 여기에 약점 감점을 더해 점수를 냅니다.

문자 종류보다 길이가 왕이다

“대문자·숫자·특수문자를 꼭 넣으라”는 규칙 때문에 많은 사람이 P@ss1! 같은 짧고 복잡한 비밀번호를 만듭니다. 하지만 위 식이 말하듯, 문자 종류는 밑(base)을 키우고 길이는 지수를 키웁니다. 지수가 이깁니다.

• P@ss1! (6자, 4종) — 짧아서 약합니다.
• correct-horse-battery-staple (긴 패스프레이즈) — 외우기 쉽고 훨씬 강합니다.

12자 이상, 가능하면 16자 이상을 목표로 하세요.

‘복잡해 보이는데’ 약한 것들

사람이 만든 규칙성은 공격자가 먼저 시도합니다. 이 도구는 다음을 감점합니다.

• 연속 — 1234, abcd.
• 반복 — aaaa, !!!!.
• 키보드 배열 — qwerty, asdf.
• 아주 흔한 비밀번호 — password, 1q2w3e4r 등은 사전에 이미 있어 즉시 뚫립니다.

‘크랙 시간’을 어떻게 읽을까

표시되는 크랙 시간은 공격자가 유출된 해시를 오프라인에서 초당 100억 회 추측한다고 가정한 대략치입니다. 실제로는 해시 방식(bcrypt처럼 느린 해시면 훨씬 오래 걸림)·하드웨어·사전 포함 여부에 따라 달라집니다. 절대 수치가 아니라 상대적인 감으로 보세요.

브라우저 안에서만 — 이 도구에선 특히 중요하다

비밀번호를 입력받는 도구가 그 값을 서버로 보낸다면 그 자체가 위험입니다. 이 도구는 분석을 전부 브라우저 안에서 끝내고 아무것도 전송하지 않습니다. 그래도 안전하게 쓰려면, 실제로 쓰는 비밀번호를 그대로 넣기보다 같은 형태의 비슷한 문자열로 테스트하는 습관을 들이세요.

정리하면

• 강도 = 엔트로피(비트). 비트가 1 오르면 후보가 두 배.
• 길이 > 문자 종류. 12자 이상, 패스프레이즈가 유리합니다.
• 연속·반복·키보드·흔한 비번은 감점. 복잡해 보여도 약할 수 있습니다.