liminfo

Password Strength Checker

비밀번호 강도 분석

Password Strength Checker 소개

비밀번호 강도 검사기는 입력된 비밀번호를 분석해 길이, 비트 단위 샤논 엔트로피, 초당 100억 회 무차별 대입 공격 기준 크래킹 예상 시간, 5단계 강도 등급(매우 약함/약함/보통/강함/매우 강함)의 네 가지 핵심 지표를 보고합니다. 엔트로피 계산은 사용된 문자 풀 크기를 기반으로 합니다. 소문자 26, 대문자 26, 숫자 10, 특수문자 33을 더해 비밀번호 복잡도를 현실적으로 측정합니다.

보안 교육 담당자, 시스템 관리자, 회원가입 폼을 개발하는 개발자들이 이 도구를 사용해 현대적 공격 가정에 따라 비밀번호를 평가합니다. 크래킹 시간 추정은 초당 100억 번의 추측을 가정하며, 이는 오프라인 MD5 해시를 공격하는 현대 GPU 클러스터의 처리 능력을 반영합니다. bcrypt나 Argon2로 보호된 비밀번호는 실제 크래킹 시간이 훨씬 더 길겠지만, 이 도구는 보수적인 최악의 시나리오를 제공합니다.

엔트로피와 크래킹 시간 외에도 6가지 일반적인 취약 패턴을 감지합니다: 단일 문자 반복(예: "aaaaaa"), 연속된 문자나 숫자(예: "abc123"), 잘 알려진 흔한 비밀번호(password, qwerty, admin 등), 숫자만으로 구성된 비밀번호, 문자만으로 구성된 비밀번호, 3회 이상 연속 반복 문자. 감지된 패턴이 명확한 경고로 나열되어 비밀번호를 개선하는 방법에 대한 실질적인 피드백을 제공합니다.

주요 기능

  • 실제 문자 풀 크기(소문자, 대문자, 숫자, 특수문자) 기반 샤논 엔트로피 계산
  • 초당 100억 회 기준, "즉시"부터 "수십억년 이상"까지 인간이 이해하기 쉬운 단위로 크래킹 시간 표시
  • 5단계 강도 등급: 매우 약함(<28비트), 약함(<36), 보통(<60), 강함(<80), 매우 강함(80비트+)
  • 문자 구성 분류 — 소문자/대문자/숫자/특수문자 4가지 종류 중 어떤 것이 포함됐는지 표시
  • 취약 패턴 감지: 반복 문자, 연속 문자열, 흔한 비밀번호, 숫자만, 문자만, 3회 이상 연속 반복
  • 실시간 분석 — 키를 누를 때마다 즉시 업데이트되며 별도 실행 버튼 불필요
  • 분석을 위해 평문으로 입력 — 서버로 데이터가 전송되지 않아 안전
  • 다크 모드 지원 및 4개 지표를 동시에 표시하는 반응형 그리드 레이아웃

자주 묻는 질문

비밀번호 엔트로피는 어떻게 계산되나요?

엔트로피는 길이 × log₂(풀 크기)로 계산됩니다. 풀 크기는 사용된 문자 종류에 따라 결정됩니다. 소문자 26, 대문자 26, 숫자 10, 특수문자 33을 더합니다. 4가지 종류를 모두 사용한 12자리 비밀번호의 풀은 95이므로 엔트로피는 12 × log₂(95) ≈ 78.8비트입니다.

크래킹 시간 추정은 무엇을 의미하나요?

초당 100억(10¹⁰) 번의 추측을 시도하는 공격자를 가정합니다. 이는 오프라인 MD5 해시 덤프를 공격하는 GPU 클러스터의 일반적인 처리량입니다. 표시된 시간은 비밀번호를 평균적으로 크래킹하는 데 걸리는 시간(필요한 총 추측 횟수 ÷ 2)입니다. 속도 제한이 있는 온라인 공격에서는 실제 크래킹 시간이 훨씬 더 깁니다.

"password123"이 왜 약한 것으로 분류되나요?

엔트로피 공식은 예측 불가능성에 보상을 줍니다. "password123"은 흔한 사전 단어와 예측 가능한 숫자 순서를 포함하며, 둘 다 취약 패턴으로 감지됩니다. 실제로 사전+규칙 공격을 사용하는 공격자는 11자리의 혼합 구성에도 불구하고 거의 즉시 크래킹할 것입니다.

어느 정도의 엔트로피가 안전한가요?

대부분의 경우 60비트 이상의 엔트로피는 오프라인 공격에 대해 합리적으로 강력하다고 간주됩니다. 80비트 이상("매우 강함")은 매우 강력합니다. 단, 엔트로피만으로는 충분하지 않습니다. 높은 엔트로피를 가지더라도 알려진 패턴을 따른다면(예: 200만 단어 목록에서 숫자를 덧붙인 단어) 실제 강도는 계산된 엔트로피보다 훨씬 낮습니다.

왜 비밀번호를 평문으로 보여주나요?

분석을 위해 엔트로피를 계산하고 패턴을 감지하려면 실제 문자를 확인해야 합니다. 모든 처리가 브라우저 로컬에서 이루어지고 서버로 아무것도 전송되지 않으므로, 이 맥락에서 평문 표시는 안전합니다. 실제 계정 비밀번호 대신 후보 비밀번호를 붙여넣어 평가하는 것을 권장합니다.

특수문자 풀에는 몇 개가 포함되나요?

도구는 33개의 특수문자를 계산합니다. 문자나 숫자가 아닌 출력 가능한 ASCII 기호들입니다: ! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _ ` { | } ~. 비밀번호에 이 중 하나라도 포함되면 사용한 특수문자 종류 수에 관계없이 풀 크기에 33이 더해집니다.

어떤 흔한 비밀번호를 감지하나요?

다음 알려진 흔한 비밀번호로 시작하는 비밀번호를 감지합니다: password, qwerty, letmein, admin, welcome, monkey, dragon, master, login. 이것들은 침해 데이터베이스에서 가장 자주 사용되는 비밀번호들이며, 사전 공격을 사용하는 공격자라면 가장 먼저 시도할 것들입니다.

비밀번호가 길수록 항상 더 강력한가요?

일반적으로 그렇지만, 주의할 점이 있습니다. 길이는 엔트로피에 직접 곱해지므로 같은 문자 풀에서 더 긴 비밀번호는 수치적으로 항상 더 강합니다. 그러나 하나의 문자만 반복한 매우 긴 비밀번호(예: "aaaaaaaaaaaaaaa")는 실효 엔트로피가 0이라 즉시 크래킹됩니다. 도구가 이 패턴을 감지하고 경고합니다.