비밀번호 생성기

비밀번호 생성기 소개

이 도구는 세 가지 방식으로 비밀번호를 만듭니다. 무작위 문자 조합, 발음하기 쉬운 문자열, 그리고 단어를 이어 붙인 패스프레이즈입니다. 모든 무작위 선택은 crypto.getRandomValues로 하고 Math.random은 쓰지 않습니다. Math.random은 예측 가능한 값이 나올 수 있어 비밀번호에 부적합하기 때문입니다.

각 결과 옆에는 엔트로피(비트)가 표시됩니다. 엔트로피는 「이 방식으로 나올 수 있는 경우의 수」를 2의 거듭제곱으로 나타낸 값으로, 비밀번호의 실제 강도를 가늠하는 가장 정직한 숫자입니다. 아래에서 이 숫자가 어떻게 계산되고 왜 「길이」가 「복잡한 규칙」보다 중요한지 설명합니다.

엔트로피는 길이 × log2(문자 종류 수)

무작위 문자 모드에서 문자를 문자 집합에서 균등하게 뽑으면, 엔트로피는 길이 × log2(문자 집합 크기)입니다. 이 도구의 기본 문자 집합은 대문자 26 + 소문자 26 + 숫자 10 + 기호 25 = 87종입니다. log2(87) ≈ 6.44비트이므로 한 글자가 약 6.44비트를 담습니다.

그래서 12자는 약 77비트, 16자는 약 103비트입니다. 한 글자 늘 때마다 6.44비트가 더해지는데, 이것은 경우의 수가 87배 커진다는 뜻입니다. 반대로 문자 종류를 줄이면(예: 소문자만 26종, log2(26)≈4.7비트) 같은 길이라도 엔트로피가 낮아집니다. 「헷갈리는 문자 제외」를 켜면 0·O·1·l·I·| 같은 몇 글자가 빠져 집합이 조금 작아지므로 엔트로피도 아주 조금 줄어듭니다.

이 계산은 문자를 정말 무작위로 뽑았을 때만 맞습니다. 사람이 직접 만든 「P@ssw0rd!」 같은 비밀번호는 글자 수는 많아도 예측 가능한 패턴이라 실제 엔트로피가 훨씬 낮습니다. 표시된 비트 값은 이 도구가 무작위로 생성한 경우에만 유효합니다.

복잡도 규칙보다 길이가 중요한 이유

「대문자·숫자·기호를 반드시 섞어라」는 규칙은 문자 집합을 키워 글자당 엔트로피를 조금 올립니다. 하지만 길이를 늘리는 편이 훨씬 효율적입니다. 소문자만 20자(log2(26)×20 ≈ 94비트)가 87종 14자(≈90비트)보다 강합니다. 규칙은 오히려 사람들이 「Password1!」처럼 뻔한 패턴으로 규칙을 만족시키게 만들어 예측 가능성을 높이기도 합니다.

NIST의 디지털 신원 지침(SP 800-63B, 2025년 개정)은 이 방향을 명문화했습니다. 사용자가 정하는 비밀번호는 최소 8자 이상(단일 인증 수단만 쓸 때는 15자 이상), 최대 64자 이상을 허용하고, 문자 종류를 강제하는 조합 규칙을 부과하지 말라고 합니다. 또 주기적 강제 변경을 요구하지 말고(유출 정황이 있을 때만 변경), 유출된 비밀번호 목록과 대조해 흔한 값을 거르라고 합니다.

패스프레이즈: 왜 단어 몇 개가 안전한가

패스프레이즈 모드는 256개(정확히 2^8) 단어 목록에서 중복 없이 뽑아 이어 붙입니다. 목록 크기가 2의 거듭제곱이라 단어 하나가 정확히 8비트입니다. 다만 중복 없이 뽑으므로(비복원 추출) 정확한 엔트로피는 조금 다릅니다. 5단어는 log2(256×255×254×253×252) ≈ 39.9비트입니다.

유명한 Diceware 방식은 7,776단어(6면 주사위 5번) 목록을 써서 단어당 log2(7776) ≈ 12.9비트, 6단어면 약 77비트입니다. 이 도구의 목록은 어느 언어권 사용자든 오타 없이 옮겨 적기 쉽도록 짧고 흔한 영단어 256개로 줄였기에 단어당 비트는 낮지만, 단어 수를 늘리면 그만큼 채울 수 있습니다. 핵심은 사람이 외우기는 쉽고 기계가 맞히기는 어렵다는 점입니다.

「대문자화」나 「끝에 숫자 추가」 옵션은 보기에는 강해 보여도 엔트로피에 거의 기여하지 않습니다. 첫 글자 대문자는 위치가 고정돼 있어 추가 경우의 수가 없고, 끝에 붙는 한 자리 숫자는 log2(10) ≈ 3.3비트뿐입니다. 진짜로 강도를 올리려면 단어 수를 늘리세요.

발음 가능한 모드의 절충

발음 가능한 모드는 자음(20종)과 모음(5종)을 번갈아 붙여 읽기 쉬운 문자열을 만듭니다. 대신 한 글자당 엔트로피가 낮습니다. 자음은 log2(20)≈4.32비트, 모음은 log2(5)≈2.32비트라, 자음-모음 한 쌍이 약 6.64비트입니다. 10자면 약 39.9비트에 불과합니다.

외우기 쉬운 대신 무작위 문자 모드보다 훨씬 약하다는 뜻입니다. 눈으로 읽어 옮겨야 하는 임시 비밀번호 정도에 쓰고, 오래 보호해야 하는 계정에는 길이가 넉넉한 무작위 문자나 단어 수가 많은 패스프레이즈를 쓰세요.

예시

사용 방법

1. 무작위 문자, 발음 가능, 패스프레이즈 중 방식을 고릅니다.
2. 길이나 단어 수, 포함할 문자 종류를 조절합니다.
3. 표시되는 엔트로피(비트)를 보며 강도를 확인합니다.
4. 생성된 값을 복사해 씁니다. 새로 만들려면 다시 생성합니다.

주요 용어

엔트로피(비트)

무작위 생성으로 나올 수 있는 경우의 수를 log2로 나타낸 값. 값이 클수록 추측하기 어렵습니다.

문자 집합 크기

한 자리에 올 수 있는 문자의 종류 수. 클수록 글자당 엔트로피가 큽니다.

패스프레이즈

단어 여러 개를 이어 붙인 비밀번호. 외우기 쉬우면서 길이로 엔트로피를 확보합니다.

자주 묻는 질문

관련 가이드

• 비밀번호는 어떻게 저장되는가: 평문에서 Argon2까지