인기 도구

테마

비밀번호 강도 테스터

내 비밀번호를 해독하는 데 공격별로 얼마나 걸리는지, 어떤 패턴이 약점이 되는지, 데이터 유출에 나타난 적이 있는지 확인하세요. 이 비밀번호 강도 테스터는 비밀번호를 전송하지 않는 비밀번호 검사기로, 해시의 앞 5자만 기기를 떠납니다.

패턴 추정: zxcvbn-ts(보정) · 공격 속도: hashcat 벤치마크 · 유출 데이터: Have I Been Pwned · 저장하는 정보 없음
이 브라우저에서 확인함
공격자가 추측할 부분이 모두 여기에 표시됩니다:
  • 흔한 비밀번호
  • 단어
  • 이름
  • 연도
  • 키보드
  • 반복
  • 무작위

내 브라우저에서 테스트합니다. 유출 확인을 위해 SHA-1 해시 40자 중 앞의 5자만 전송됩니다.

예시

얼마나 빨리 뚫릴까요?

비밀번호를 입력하거나 붙여넣으세요. 입력하는 동안 결과가 바뀝니다.

공격자가 맞혀야 하는 비트
0128

확인하는 항목

  • 공격자가 먼저 시도하는 패턴: 흔한 비밀번호 49,233개, 단어와 이름, 연도, 키보드 배열, 반복, 비슷한 문자 바꾸기.
  • 데이터 유출: k-익명성으로 확인하는 Have I Been Pwned의 유출 비밀번호 약 20.7억 개.
  • 8가지 공격: 100번 틀리면 잠기는 로그인 페이지부터 그래픽 카드 100장으로 푸는 NTLM 해시까지.

내 비밀번호는 얼마나 강한가요?

공격자가 도달하는 데 필요한 추측 횟수만큼 강합니다. 공격자는 무작위 문자열보다 훨씬 먼저 흔한 비밀번호, 단어와 이름, 연도, 키보드 배열, 바꿔 쓴 문자처럼 가능성 높은 비밀번호를 시도합니다. 테스터가 그 추측 횟수를 셉니다.

입력한 내용을 Summer + 2026 + !처럼 공격자가 시도하는 조각으로 나누고, 조각마다 필요한 추측 횟수를 계산한 뒤 전체 비밀번호를 만드는 가장 싼 방법을 더합니다. 엔진은 OWASP가 가리키는 오픈소스 추정기 zxcvbn-ts이며, 영어 단어 목록과 페이지 언어의 단어 목록(있는 경우)을 씁니다.

기본 추정기가 강한 쪽에서 틀리는 두 곳은 저희가 고쳤습니다. 진짜 무작위 12자 비밀번호를 약 10²⁴번이 아닌 약 10¹²번의 추측으로, 여섯 단어 암호 문구는 수십억 배 높게 평가하던 부분입니다. 이제 무작위 구간은 쓰인 문자로, 암호 문구는 그것을 만든 방식으로 계산합니다.

대문자, 숫자, 기호는 표시되지만 빠진 종류가 감점이 되지는 않습니다. NIST는 Password1! 같은 예측 가능한 비밀번호를 낳는다는 이유로 그런 규칙을 없앴습니다(NIST SP 800-63B-4). 처음 64자를 분석하며, 그보다 긴 부분은 알려진 문구가 아니라면 추측으로는 닿을 수 없고 유출 확인은 전체를 봅니다.

Summer2026!

  1. Summer사전 단어흔한 방식으로 첫 글자를 대문자로 쓴 계절 이름: 추측 50번
  2. 2026!무작위패턴을 찾지 못한 문자 5개: 추측 100,000번
0128

약함약 1,000만 번의 추측: 약함유출됨유출 데이터에 45번 나옴: 유출됨

결정하는 것은 문자 종류가 아니라 패턴입니다. 네 종류가 섞인 11자도 해시 목록이 유출되면 몇 초 만에 추측됩니다.
비밀번호 강도 테스터: 약점이 되는 패턴으로 나뉜 비밀번호, 8가지 공격의 해독 시간, 유출 확인 결과비밀번호 강도 테스터: 약점이 되는 패턴으로 나뉜 비밀번호, 8가지 공격의 해독 시간, 유출 확인 결과등급공격자에게 필요한 추측 횟수에 따라 매우 약함부터 매우 강함까지, 유출 데이터에 있으면 유출됨으로 표시됩니다.약한 부분공격자가 시도하는 패턴으로 나눈 비밀번호와 각 부분이 추측하기 쉬운 이유가 표시됩니다.해독 시간그래픽 카드 한 장 또는 100장으로 8가지 공격 각각에 걸리는 시간입니다.유출 확인Have I Been Pwned에서 발견된 적이 있는지, 그리고 전송된 해시의 앞 5자를 보여 줍니다.
가상의 비밀번호를 테스트한 화면입니다. 등급, 약점이 되는 패턴, 공격별 소요 시간, 유출 확인 결과를 보여 줍니다. 번호를 선택하면 각 부분이 무엇을 보여 주는지 확인할 수 있습니다.

내 비밀번호를 해독하는 데 얼마나 걸리나요?

공격에 따라 다릅니다. 같은 비밀번호도 시도 횟수를 제한하는 로그인 페이지에서는 몇 년을 버티지만, 사이트에서 허술하게 저장된 비밀번호 해시가 유출되면 1초 안에 뚫립니다. 테스터는 그래픽 카드 한 장 또는 100장으로 8가지 공격의 해독 시간을 알려 줍니다.

비밀번호 해독 시간은 필요한 추측 횟수를 공격자의 속도로 나눈 값입니다. 온라인에서는 로그인 페이지로 추측하는데, 반복 실패를 잠그는 사이트에서는 시간당 100번(NIST는 연속 최대 100번을 허용), 그렇지 않은 사이트에서는 초당 10번입니다. 오프라인에서는 데이터베이스가 유출된 뒤 저장된 해시를 그래픽 카드로 추측하며, 속도는 사이트가 해시를 저장한 방식에 달려 있습니다.

RTX 5090 한 장은 초당 NTLM(Windows) 해시 3,401억 개, MD5 2,206억 개, SHA-1 702억 개를 시도하지만 cost 10의 bcrypt는 약 9,500개, Linux sha512crypt는 148만 개입니다(hashcat 벤치마크). 메모리 64 MiB의 Argon2id는 RTX 4090에서 초당 1,699개입니다(hashcat). 이 차이 때문에 OWASP는 사이트에 Argon2id나 bcrypt로 비밀번호를 저장하라고 요구합니다.

각 시간은 평균이며, 무작위 비밀번호에서는 가능한 경우의 절반입니다. 비밀번호 강도 테스트는 가정한 공격만큼만 정직하므로 행마다 공격 하나를 밝혀 둡니다. 실제 공격자는 무차별 대입 전에 목록과 규칙도 시도하며, 패턴 추정이 그것을 모델링합니다. 피싱과 키로거는 추측 자체를 건너뜁니다.

온라인, 시도 횟수 제한온라인, 제한 없음유출 후, Argon2id*유출 후, bcrypt유출 후, Linux sha512crypt유출 후, SHA-1유출 후, MD5유출 후, NTLM
6자리 PIN105.7208일14시간5분52초1초 미만1초 미만1초 미만1초 미만
Summer2026!, 패턴만으로107.011년12일2시간17분7초1초 미만1초 미만1초 미만
무작위 문자 8자1015.116억년445만년3만년5천년30년6시간2시간1시간
무작위 단어 4개1015.321억년579만년3만년6천년39년7시간2시간1시간
무작위 문자 12자1023.210¹⁷년10¹⁴년10¹²년5540억년36억년8만년2만년2만년
무작위 단어 6개1023.010¹⁷년10¹⁴년10¹²년3677억년24억년5만년2만년1만년
무작위 문자 16자1031.210²⁵년10²²년10²⁰년10¹⁹년10¹⁷년10¹²년10¹²년10¹²년
유출 데이터에 있는 모든 비밀번호109.32천년7년14일3일23분1초 미만1초 미만1초 미만
온라인, 시도 횟수 제한온라인, 제한 없음유출 후, Argon2id*유출 후, bcrypt유출 후, Linux sha512crypt유출 후, SHA-1유출 후, MD5유출 후, NTLM
6자리 PIN105.7208일14시간3초1초 미만1초 미만1초 미만1초 미만1초 미만
Summer2026!, 패턴만으로107.011년12일59초10초1초 미만1초 미만1초 미만1초 미만
무작위 문자 8자1015.116억년445만년262년47년110일3분1분41초
무작위 단어 4개1015.321억년579만년341년61년143일4분1분54초
무작위 문자 12자1023.210¹⁷년10¹⁴년311억년55억년3566만년752년239년155년
무작위 단어 6개1023.010¹⁷년10¹⁴년206억년37억년2367만년499년159년103년
무작위 문자 16자1031.210²⁵년10²²년10¹⁸년10¹⁷년10¹⁵년690억년220억년142억년
유출 데이터에 있는 모든 비밀번호109.32천년7년3시간36분14초1초 미만1초 미만1초 미만
평균 시간입니다. 속도: RTX 5090 한 장의 hashcat 벤치마크이며 Argon2id는 RTX 4090 기준입니다. 실제 공격은 무차별 대입 전에 목록과 규칙을 먼저 시도합니다. * Argon2id: RTX 4090에서 측정했습니다(아직 RTX 5090 벤치마크가 공개되지 않았습니다).

내 비밀번호는 안전한가요? 등급별 의미

매우 강함으로 평가되거나, 느린 해시로 비밀번호를 저장하는 사이트에서 강함으로 평가되고 유출된 적이 없다면 추측 공격에 안전합니다. 유출됨은 다른 모든 것보다 우선합니다.

각 등급은 실제 공격이 그 범위를 훑는 데 걸리는 시간으로 정한 추측 횟수의 구간입니다. 매우 강함은 10²¹번 이상의 추측이 필요합니다. NTLM을 상대로도 그래픽 카드 한 장으로는 100년 안에 찾을 수 없습니다.

공격자에게 필요한 추측 횟수
유출됨
  1. 6자리 PIN
  2. Summer2026!
  3. 무작위 문자 8자
  4. 무작위 단어 4개
  5. 무작위 단어 6개
  6. 무작위 문자 12자
  7. 무작위 문자 16자
매우 약함약함보통강함매우 강함
  1. 잠기는 로그인
  2. 열린 로그인
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: 그래픽 카드 한 장으로 1년

유출됨은 이 척도 밖에 있습니다. 유출된 비밀번호는 길이와 관계없이 공격자의 목록에 있습니다.
등급필요한 추측 횟수견디는 수준
유출됨유출 데이터에 있음아무것도 견디지 못합니다. 공격자가 유출된 비밀번호를 가장 먼저 시도합니다. 사용하는 모든 곳에서 바꾸세요.
매우 약함10⁴ 미만초당 10번이어도 온라인 추측으로 17분 안에 찾습니다.
약함10⁴ ~ 10⁸100번 실패하면 잠기는 사이트에서는 버티지만 제한이 없는 곳에서는 버티지 못합니다. 유출 후에는 길어야 16시간입니다.
보통10⁸ ~ 10¹⁴온라인 추측에는 몇 달에서 수천 년입니다. 유출 후에는 bcrypt 기준 몇 시간에서 333년이지만, MD5나 NTLM 기준으로는 10분 미만입니다.
강함10¹⁴ ~ 10²¹유출 후 bcrypt 기준 333년에서 30억 년이지만, 그래픽 카드 한 장으로 NTLM 기준 5분에서 93년입니다.
매우 강함10²¹ 이상해독이 가장 빠른 해시인 NTLM을 상대로도 그래픽 카드 한 장으로는 100년 안에 찾을 수 없습니다.

강력한 비밀번호의 조건은 무엇인가요?

길이와 무작위성입니다. 비밀번호만으로 계정을 지킨다면 15자 이상이고, 생성기나 무작위 단어로 만들어 계정 하나에만 쓰며 유출된 적이 없어야 합니다. 기호, 대문자, 정기적인 변경은 더 이상 요구되지 않습니다.

이는 2025년 7월에 개정된 미국 표준 NIST SP 800-63B-4의 규칙입니다. 단일 인증은 15자, 두 번째 인증 수단이 있으면 8자, 최소 64자 허용, 공백과 이모지를 포함한 모든 문자 허용, 구성 규칙 없음, 강제 변경 없음, 새 비밀번호는 모두 유출된 비밀번호와 흔한 비밀번호에 대조합니다.

미국 사이버 보안 기관 CISA는 16자 이상 또는 서로 관련 없는 단어 네 개에서 일곱 개의 암호 문구를 요구하고, 영국 NCSC는 무작위 단어 세 개를 권합니다. 세 곳 모두 길이를 가장 먼저 둡니다.

문자를 비슷하게 생긴 숫자로 바꿔도 소용없습니다. 공격자는 o → 0과 a → @를 알고 일찍 시도합니다(NCSC). 비밀번호 생성기는 이 규칙을 모두 충족하는 비밀번호를 만듭니다.

NIST SP 800-63B-4표준의 내용 · 테스터의 동작
  • 15자 이상, 두 번째 인증 수단이 있으면 8자 이상길이를 15자 기준으로 확인
  • 최소 64자 허용최대 256자까지 허용, 처음 64자 분석
  • 공백과 이모지를 포함한 모든 문자문자 수로 계산: 이모지는 1자
  • "기호를 포함해야 함" 같은 규칙 금지빠진 문자 종류는 문제로 표시하지 않음
  • 강제 변경 금지, 침해 후에는 변경바꿀 때가 되면 유출됨으로 알려 줌
  • 흔한 비밀번호와 유출된 비밀번호 차단Have I Been Pwned와 대조
  • 붙여넣기와 비밀번호 관리자 허용붙여넣기가 되고 유출 확인이 실행됨
NIST SP 800-63B-4 3.1.1.2절, 2025년 7월부터 적용된 미국의 비밀번호 표준입니다.

비밀번호 엔트로피: P@ssw0rd와 Tr0ub4dor&3이 뚫리는 이유

엔트로피는 공격자가 시도해야 할 가능한 비밀번호의 수를 세는 것으로, 무작위로 뽑은 비밀번호에서만 의미가 있습니다. 문자 종류로 계산하면 P@ssw0rd는 약 52비트, Tr0ub4dor&3은 약 72비트이지만, 둘 다 유출 데이터에 수천에서 수백만 번 나옵니다.

비밀번호 엔트로피 계산기는 모든 문자를 무작위로 골랐다고 가정하고 길이에 포함된 문자 종류의 비트를 곱합니다. 사람은 그렇게 고르지 않습니다. P@ssw0rd는 "password"에 잘 알려진 바꾸기 두 개를 더한 것이고, Have I Been Pwned에서 6,421,042번 발견되었습니다. 그래서 NIST는 길이를 중심으로 규칙을 세웁니다. 사람이 고른 비밀번호의 엔트로피는 계산할 수 없기 때문입니다(NIST SP 800-63B-4, 부록 A).

xkcd가 기억하기 어려운 비밀번호의 예로 든 Tr0ub4dor&3은 문자를 바꾼 사전 단어에 기호와 숫자를 더한 것으로, 바꾸기를 되돌리면 약 100만 번의 추측이면 됩니다. 그것만으로는 약함이고, 3,196번 발견되었으므로 실제로는 유출됨입니다.

무작위 비밀번호에서는 두 계산이 일치하며, 비밀번호 생성기가 정확한 비트 수를 보여 줍니다. 테스터는 대신 추측 횟수를 보고합니다: 10ˣ번의 추측은 3.32 × x비트입니다.

  • 문자 종류 기준
  • 패턴 기준
  • 유출 데이터
  1. P@ssw0rd52.6비트5.0비트6,421,042번
  2. Tr0ub4dor&372.3비트62.2비트3,196번
  3. 무작위 문자 12자78.8비트78.8비트찾지 못함
문자 종류 기준은 모든 문자가 무작위라고 가정합니다. 무작위 비밀번호에서만 두 계산이 일치합니다.

내 비밀번호가 유출되었나요? Have I Been Pwned 비공개 확인

테스터는 데이터 유출에서 나온 약 20.7억 개의 비밀번호가 있는 Have I Been Pwned의 Pwned Passwords에서 정확한 비밀번호를 전송하지 않고 확인합니다. SHA-1 해시 40자 중 앞의 5자만 브라우저를 떠나며, 그 5자는 Have I Been Pwned가 아니라 저희 서버로 갑니다.

브라우저가 비밀번호를 SHA-1로 해시하고 21BD1 같은 앞 5자를 보냅니다. 데이터베이스에서 그 5자로 시작하는 해시는 약 2,000개이며, 응답은 그 모두를 횟수와 함께 나열하고 브라우저가 그 목록에서 나머지 35자를 찾습니다. 이것이 Have I Been Pwned가 직접 설계한 k-익명성입니다(HIBP). 앞 5자를 본 사람은 내 비밀번호가 2,000개 중 무엇인지 알 수 없습니다.

저희 서버가 대신 Have I Been Pwned에 요청하므로 내 IP 주소를 보지 않고, 응답 크기가 단서가 되지 않도록 더미 행 100~300개를 덧붙이며, 앞 5자를 기록하지 않습니다. 확인은 필드를 벗어나거나 Enter를 누르거나 붙여넣을 때만 실행되고 키를 누를 때마다 실행되지 않습니다. 글자마다 앞 5자를 보내면 비밀번호가 드러날 수 있어서, Have I Been Pwned도 이를 권하지 않습니다(HIBP).

횟수는 유출 건수가 아니라 발견 횟수입니다. Tr0ub4dor&3은 3,196번 발견되었습니다. 20.7억이라는 수치는 Have I Been Pwned가 현재 총계를 공개하지 않아 저희가 직접 측정한 것입니다. 무작위 앞 5자 256개에 해시가 평균 1,971개씩 있었습니다(2026년 10월 23일).

내 브라우저

••••••••

비밀번호의 SHA-1

21BD12DC183F740EE76F27B78EB39C8AD972A757

전송: 앞 5자 · 보관: 나머지 35자

내 브라우저에서 비교

…2DC183F74…:6,421,042

6,421,042번 발견

dnsrobot.net

21BD1

+ 더미 행 100~300개

기록하지 않음

21BD1로 시작하는 해시 약 2,000개

Have I Been Pwned

/range/21BD1

저희 서버만 보이고, 내 정보는 보이지 않음

k-익명성: 앞 5자를 본 사람은 내 비밀번호가 약 2,000개 중 무엇인지 알 수 없습니다.

비밀번호가 유출됐다면 어떻게 해야 하나요?

사용을 멈추세요. 먼저 이메일 계정에서 바꾸고, 같거나 비슷한 비밀번호를 쓴 모든 사이트에서 매번 새로운 무작위 비밀번호로 바꾸며, 제공되는 곳마다 2단계 인증을 켜세요.

유출된 비밀번호는 공격자가 가장 먼저 시도하는 목록에 있으므로 강도는 더 이상 의미가 없습니다. 20.7억 개 목록 전체를 돌리는 데 그래픽 카드 한 장으로 NTLM이나 MD5 해시는 1초 미만, bcrypt는 약 2.5일이 걸립니다. 그래서 NIST는 사이트가 유출된 비밀번호를 거부하고, 침해된 비밀번호는 바꾸게 하도록 요구합니다(NIST SP 800-63B-4).

이메일이 먼저인 이유는 다른 모든 계정을 재설정할 수 있기 때문입니다. 비밀번호 생성기로 계정마다 고유한 비밀번호를 만들고, 비밀번호 관리자가 기억하게 하세요. 발견되었다고 계정이 뚫렸다는 뜻은 아닙니다. 목록에는 그 비밀번호를 쓴 누군가의 비밀번호 자체가 들어 있습니다.

강하고 고유한 비밀번호도 입력하는 순간 가로채는 피싱이나 키로거는 막지 못합니다(NIST SP 800-63B-4). 로그인하기 전에 링크가 실제로 어디로 가는지 확인하고, 수상한 이메일의 실제 발신자는 이메일 헤더 분석기로 확인하세요.

  1. 1이메일부터 바꾸세요이메일로 다른 모든 계정을 재설정할 수 있습니다.
  2. 2그다음 재사용한 모든 곳계정마다 생성한 고유 비밀번호를 쓰세요.
  3. 32단계 인증 켜기비밀번호만 도난당해도 더는 로그인할 수 없습니다.
  4. 4비밀번호 관리자에 보관관리자가 하나하나 기억하고 대신 입력해 줍니다.

비밀번호 강도: 질문과 답변

여기에 실제 비밀번호를 입력해도 안전한가요?

비밀번호는 내 브라우저 안에 머뭅니다. 추정은 내 기기에서 실행되고, 유출 확인은 필드를 벗어나거나 Enter를 누르거나 붙여넣을 때 SHA-1 해시 40자 중 앞 5자만 전송합니다. 저장하거나 기록하는 것은 없고, 이 필드는 맞춤법 검사가 꺼져 있습니다. 그래도 꺼려진다면 같은 방식으로 만든 비밀번호를 테스트하세요.

Have I Been Pwned의 비밀번호 확인과 같은 건가요?

같은 데이터인 Have I Been Pwned의 Pwned Passwords와 같은 k-익명성 범위 검색을 씁니다. 세 가지가 다릅니다. 요청이 저희 서버를 거치므로 Have I Been Pwned는 내 IP 주소를 보지 못하고, 키를 누를 때마다가 아니라 입력을 마친 뒤에 실행되며, 발견되면 강도 점수 옆에 두지 않고 등급을 유출됨으로 바꿉니다.

"3,196번 발견"은 무슨 뜻인가요?

그 정확한 비밀번호가 Have I Been Pwned의 유출 데이터에 나타난 횟수입니다. Tr0ub4dor&3은 3,196번 발견되었습니다. 유출 건수나 계정 수가 아니고, 내 계정이 해킹당했다는 뜻도 아닙니다. 목록에는 비밀번호가 들어 있을 뿐 누가 썼는지는 없습니다. 0보다 큰 횟수는 그 비밀번호가 공격자가 먼저 시도하는 목록에 있다는 뜻입니다.

비밀번호 검사기는 해독 시간을 어떻게 계산하나요?

공격자에게 평균적으로 필요한 추측 횟수를 각 공격의 속도로 나눕니다. 추측 횟수는 패턴 추정에서 나오고, 속도는 RTX 5090 한 장(Argon2id는 RTX 4090)에서 공개된 hashcat 벤치마크이며, 그래픽 카드 100장이면 시간이 100분의 1이 됩니다. 실제 공격자는 무차별 대입 전에 목록과 규칙을 시도하고, 패턴 추정이 그것을 모델링합니다.

다른 비밀번호 강도 검사기는 왜 결과가 다른가요?

대부분은 문자 종류를 세고 어떤 공격을 가정하는지 밝히지 않습니다. 2026년 10월 23일에 인기 검사기 9곳을 시험했더니 6곳이 Tr0ub4dor&3을 안전하다고 보여 주었고 해독 시간도 4개월에서 2,000년까지 다양했지만, 이 비밀번호는 유출 데이터에 3,196번 나옵니다. 이 도구는 공격마다 이름을 밝히고, 공격자가 먼저 시도하는 패턴을 계산하며, 유출이 등급을 덮어쓰게 합니다.

이것은 비밀번호 엔트로피 계산기인가요?

사실상 그렇습니다. 비밀번호에 필요한 추측 횟수를 추정하며, 10ˣ번의 추측은 약 3.32 × x비트입니다. 문자 종류를 세는 비밀번호 엔트로피 계산기와 달리 패턴을 먼저 찾습니다. 문자 종류로는 P@ssw0rd가 약 52비트이지만 유출 데이터에 640만 번 나옵니다. 무작위 비밀번호에서는 둘이 일치하고, 생성기가 정확한 비트 수를 보여 줍니다.

긴 비밀번호인데 왜 약함으로 나오나요?

길이는 문자를 예측할 수 없을 때만 도움이 됩니다. 반복된 문자, qwertyuiop 같은 키보드 배열, 유명한 문구나 노래 가사는 공격자가 가장 먼저 시도하는 것들입니다. aaaaaaaaaaaaaaaa는 16자이지만 매우 약함으로 평가됩니다. 긴 비밀번호도 유출 데이터에 있을 수 있으며 그러면 유출됨으로 평가됩니다. correcthorsebatterystaple은 4,173번 나옵니다.

기호, 숫자, 대문자가 필요한가요?

강도를 위해서는 아닙니다. NIST의 현행 규칙은 Password1!처럼 예측 가능한 선택을 낳는다는 이유로 사이트가 이를 요구하지 않게 하며, 테스터도 빠진 종류를 문제로 표시하지 않습니다. 길이와 무작위성이 훨씬 중요합니다. 무작위 소문자 20자(94비트)는 모든 종류를 섞은 무작위 12자(78비트)보다 강합니다. 여전히 요구하는 사이트가 있어서 생성기가 이를 넣을 수 있습니다.

8자 비밀번호를 해독하는 데 얼마나 걸리나요?

키보드 문자 94개 전체에서 무작위로 뽑은 8자라면, 사이트가 NTLM 해시로 저장했을 때 RTX 5090 한 장으로 약 2시간, MD5는 4시간, cost 10의 bcrypt는 약 1만 년입니다. 단어와 연도처럼 사람이 고른 8자 비밀번호는 그런 빠른 해시에서는 1초 미만, bcrypt에서도 몇 시간 안에 뚫립니다.

강력한 비밀번호도 해킹당할 수 있나요?

네, 강도는 추측에 대한 것일 뿐이기 때문입니다. 피싱 페이지, 키로거, 악성코드는 아무리 긴 비밀번호도 입력하는 순간 가로채고, 유출된 사이트에서 재사용한 비밀번호는 다른 계정에도 시도됩니다. 사이트마다 다른 비밀번호를 쓰고, 2단계 인증을 켜고, 로그인하기 전에 링크가 실제로 어디로 가는지 확인하세요.

강해 보이는 비밀번호가 왜 유출됨으로 나오나요?

유출 데이터에 있고, 공격자는 그런 비밀번호를 무엇보다 먼저 시도하기 때문입니다. 약 20.7억 개 목록 전체를 돌리는 데 그래픽 카드 한 장으로 MD5나 NTLM 해시는 1초 미만, bcrypt는 며칠이 걸리므로 복잡도는 더 이상 지켜 주지 못합니다. NIST가 사이트에 유출된 비밀번호를 거부하도록 요구하는 것도 같은 이유입니다. 유출됨은 다른 모든 등급보다 우선합니다.

입력하는 동안에는 왜 유출 확인이 실행되지 않나요?

키를 누를 때마다 확인하면 글자마다 새 앞부분을 보내게 되고, 그 앞부분의 연속이 트래픽을 지켜보는 누군가에게 비밀번호를 드러낼 수 있기 때문입니다. Have I Been Pwned는 비밀번호 전체를 입력한 뒤에 확인하라고 권하므로, 테스터는 필드를 벗어나거나 Enter를 누르거나 붙여넣을 때 확인합니다. 강도 등급은 입력하는 동안에도 계속 갱신됩니다.

부족한 점이 있습니까?기능 또는 새 도구 제안하기

관련 도구