비밀번호 안전 점검

길이와 예측 불가능성이 핵심

비밀번호를 깨는 사람은 글자를 하나씩 무작정 바꿔 보지 않아요. 흔한 비밀번호 목록, 사전 단어, 이름, 생일, ‘qwerty’ 같은 키보드 배열, ‘P@ssw0rd’처럼 뻔한 바꿔 쓰기부터 시도해요. 그래서 ‘대문자·숫자·특수문자 포함’ 규칙을 지켜도 쉽게 깨지는 비밀번호가 많아요. 이 도구는 Dropbox가 공개한 오픈소스 zxcvbn(MIT 라이선스)으로 이런 패턴을 찾아 실제 공격 방식에 가까운 추측 횟수를 추정해요.

결과 읽는 법

• 점수 0~4 — 0·1은 금방 깨지는 수준, 3·4는 일반적인 공격으로는 깨기 어려운 수준이에요.
• 깨는 데 걸리는 시간 — 로그인 화면에 직접 시도하는 경우(시간당 100회 제한, 초당 10회)와, 사이트가 해킹돼 비밀번호 해시가 유출된 뒤 컴퓨터로 대입하는 경우(느린 해시 초당 1만 회, 빠른 해시 초당 100억 회)를 따로 보여 줘요. zxcvbn이 가정한 속도 기준의 추정치예요.
• 찾은 조각 — 비밀번호를 어떤 단어·패턴으로 나눠 봤는지 보여 줘요. ‘내 정보’에 이름·생년을 적으면 그 단어도 감점해요.

유출 목록 확인은 어떻게 안전한가요

‘유출된 적 있는지 확인’을 누르면 비밀번호를 SHA-1 해시(40글자)로 바꾼 뒤 앞 5글자만 Have I Been Pwned의 Pwned Passwords 서비스에 보내요. 서비스는 그 5글자로 시작하는 해시의 나머지 부분과 발견 횟수를 수백 개 돌려주고, 내 해시와 맞는지는 이 브라우저에서 비교해요. 이 방식(k-익명성)에서는 서비스도 내 비밀번호나 전체 해시를 알 수 없어요. 요청에는 응답 크기를 일정하게 맞추는 Add-Padding 옵션도 켜요.

더 안전하게

관련 없는 단어 서너 개를 이어 붙인 긴 문장형 비밀번호가 외우기도 쉽고 강해요. 사이트마다 다른 비밀번호를 쓰고, 중요한 계정은 2단계 인증(OTP)을 켜세요. 비밀번호 관리 프로그램을 쓰면 모두 외울 필요가 없어요. 무작위 비밀번호가 필요하면 비밀번호 생성기를 쓰세요.

참고한 자료

• Have I Been Pwned API v3 — Pwned Passwords range 검색, k-익명성, Add-Padding