비밀번호 강도 측정
Password Strength Meter
비밀번호를 깨는 데 걸릴 시간을 추정하고 약하게 만드는 패턴을 짚어 줍니다.
문자 종류를 세는 강도계는 `P@ssw0rd1`을 강하다고, `mineral cobbler thrift`를 약하다고 판정하지만 둘 다 거꾸로입니다. 첫 글자 대문자, a→@ 치환, 끝에 1 붙이기는 크래커가 가장 먼저 시도하는 규칙입니다. 이 도구는 공격자가 세는 방식대로, 비밀번호를 재구성하는 가장 값싼 패턴 조합을 찾아 추측 횟수를 추정합니다.
비밀번호는 이 탭에서만 측정합니다. 전송하지도, 해시하지도, 저장하지도 않고 어떤 유출 목록과도 대조하지 않습니다. 그렇게 하려면 비밀번호의 일부를 남의 서버에 넘겨야 하기 때문입니다.
측정 방식
문자 종류를 세는 방식이 아닙니다. 크래킹 도구가 값싼 규칙을 가진 패턴 — 사전 단어, 뒤집은 단어, 비슷한 글자 치환, 자판 나열, 반복, 연속, 날짜 — 을 찾아, 그것들로 비밀번호를 조립하는 가장 값싼 경로의 비용을 계산합니다. zxcvbn (Wheeler, USENIX Security 2016) 모델의 독립 구현이며, 흔한 비밀번호 222개, 영어 단어 353개, 이름 99개, EFF 패스프레이즈 목록 7,776개 단어와 대조합니다.
실제 공격자의 목록은 이보다 큽니다. 이 페이지가 알아보지 못한 비밀번호도 그중 하나에 있을 수 있습니다. 이 값은 추측 난이도의 하한이며, 강도 추정이 정직하게 틀릴 수 있는 유일한 방향입니다.
점수가 잘 나오는 것이 필요하다면 패스프레이즈 만들기 또는 무작위 비밀번호 만들기.
사용 방법
비밀번호를 입력하거나 붙여 넣습니다
해시하거나 저장하거나 전송하지 않습니다. 탭 안에서 문자열을 그대로 분석하며, 그래서 유출 데이터베이스는 조회하지 않습니다. 그쪽은 별도 도구입니다.
점수보다 패턴 분해를 봅니다
사전 단어, 자판 나열, 날짜, 반복처럼 인식한 구간과 그 구간이 공격자에게 얼마나 값싼지를 알려 줍니다. 값싼 구간이 바꿔야 할 부분입니다.
두 가지 공격 속도를 비교합니다
같은 추측 횟수라도 느린 서버 로그인 공격에서는 수년, 유출된 해시에 대한 오프라인 공격에서는 수 분입니다. 그 비밀번호가 놓인 상황에 맞는 쪽으로 판단하십시오.
자주 묻는 질문
zxcvbn인가요?
공개된 알고리즘(Wheeler, USENIX Security 2016)을 따르지만 독립 구현이고 사전도 이 프로젝트가 직접 만든 훨씬 작은 것입니다. 수치의 성격은 zxcvbn과 같지만 값이 똑같지는 않습니다.
강하다고 나오면 안전한 건가요?
이 도구가 값싼 패턴을 찾지 못했다는 뜻일 뿐입니다. 공격자만 가진 단어 목록에 있으면 그대로 뚫리고, 이미 유출된 사이트에서 쓰던 비밀번호라면 점수와 무관하게 깨진 것입니다. 유출 확인 도구도 함께 써 보십시오.
끝에 기호 하나를 붙여도 왜 별 차이가 없나요?
그것도 하나의 규칙이고, 규칙은 값이 쌉니다. 크래킹은 사전 단어마다 모든 기호를 붙여 보는 것을 기본으로 하므로, 기호 하나는 작업량을 문자 집합 크기가 아니라 수십 배 늘릴 뿐입니다. 단어를 더 붙이는 쪽이 훨씬 크게 늘립니다.
비밀번호가 탭 밖으로 나가나요?
나가지 않습니다. 이 도구에는 네트워크 요청 자체가 없습니다. 해시 앞자리조차 보내지 않으며, 그래서 유출 조회를 일부러 분리해 두었습니다.
이 도구로 이어지는 것
bcrypt·argon2 검증
bcrypt & argon2 Checker
bcrypt로 비밀번호를 원하는 코스트로 해시하고, 기존 bcrypt 해시와 대조합니다. argon2는 인식하지만 계산하지는 않습니다.
비밀번호 생성기
Password Generator
길이·문자 종류·헷갈리는 글자 제외 규칙을 정해 무작위 비밀번호를 필요한 만큼 만듭니다.
패스프레이즈 생성기
Passphrase Generator
단어 목록에서 다이스웨어 방식 패스프레이즈를 만들고 비트 단위 엔트로피를 보여 줍니다.
유출 여부 확인
Breach Check
비밀번호가 Have I Been Pwned 유출 데이터에 있는지 확인합니다. 브라우저에서 SHA-1 해시의 앞 5자만 보내는 k-익명성 방식입니다.
다음 단계
이 도구의 결과를 그대로 받을 수 있는 도구들입니다.
유출 여부 확인
Breach Check
비밀번호가 Have I Been Pwned 유출 데이터에 있는지 확인합니다. 브라우저에서 SHA-1 해시의 앞 5자만 보내는 k-익명성 방식입니다.
엔트로피 측정
Entropy Meter
문자열이나 파일의 섀넌 엔트로피를 재고 바이트 분포를 보여 줍니다. 키 탐지에 유용합니다.
패스프레이즈 생성기
Passphrase Generator
단어 목록에서 다이스웨어 방식 패스프레이즈를 만들고 비트 단위 엔트로피를 보여 줍니다.
비밀번호 생성기
Password Generator
길이·문자 종류·헷갈리는 글자 제외 규칙을 정해 무작위 비밀번호를 필요한 만큼 만듭니다.
CORS 점검
CORS Tester
지정한 출처에서 브라우저가 보낼 프리플라이트와 Origin을 실은 GET 요청을 보내고, Fetch 표준 규칙으로 어떤 헤더 때문에 막혔는지 짚어 줍니다.
환율 계산기
Currency Converter
유럽중앙은행 일일 기준환율로 30여 개 통화를 유로를 거쳐 환산하고, 은행이 알려 준 환율을 직접 넣어 계산할 수도 있습니다.