비밀번호 강도·유출 확인 / 생성
비밀번호 강도(엔트로피와 추정 크랙 시간)를 측정하고, 과거 유출 데이터에 포함됐는지 Have I Been Pwned로 확인하며, 강력한 비밀번호를 생성합니다. 강도 계산과 생성은 브라우저 안에서 끝나며, 유출 확인에서도 비밀번호 자체는 전송되지 않습니다.
- 전송
- 강도 계산은 아무것도 보내지 않음
- 저장
- 안 함
- 외부 API
- 유출 확인 때만 해시 앞 5자를 HIBP로
- 대상
- 외부 대상에 접속하지 않음
자세한 처리 방식
- 강도 계산과 비밀번호 생성은 브라우저 안에서만 이뤄집니다.
- 유출 확인은 버튼을 눌렀을 때만 동작합니다. 비밀번호 SHA-1 해시의 앞 5자만 브라우저에서 Have I Been Pwned(api.pwnedpasswords.com)로 직접 보내고, 돌아온 후보와의 대조는 브라우저 안에서 합니다(k-익명성). 비밀번호 자체와 해시 전체는 보내지 않습니다.
- HIBP에는 그 5자와 접속 IP 주소가 전달됩니다. 이 사이트의 서버를 거치지 않습니다.
- 페이지 표시 자체는 접근 로그(IP 주소, 일시, 사용자 에이전트 등)에 기록됩니다. 도구 화면에서는 광고와 접속 분석을 불러오지 않습니다. 개인정보 처리방침
강도 검사
원리: 버튼을 눌렀을 때만 브라우저가 비밀번호를 SHA-1로 해시하고, 해시의 앞 5자리만 Have I Been Pwned로 보냅니다. 대조도 브라우저 안에서 하므로 비밀번호와 전체 해시는 전송되지 않으며, 이 사이트의 서버도 거치지 않습니다. HIBP에 전달되는 것은 그 5자리와 사용자의 IP 주소입니다.
지금 쓰고 있는 비밀번호는 저장해 둔 비밀번호 관리자나 브라우저의 점검 기능으로 확인하는 편이 더 안전합니다. 비밀번호 유출 확인하는 법 / 비밀번호 관리자는 안전한가?
강력한 비밀번호 생성
사용 방법
- 1
위 입력란에 비밀번호를 입력하면 엔트로피(비트), 강도, 추정 크랙 시간이 표시됩니다.
- 2
‘유출 데이터와 대조’를 누르면 그 비밀번호가 Have I Been Pwned의 Pwned Passwords(과거 유출 데이터)에 포함돼 있는지 확인할 수 있습니다.
- 3
아래 생성기로 길이와 문자 종류를 선택하여 강력한 비밀번호를 만들고 복사할 수 있습니다.
- 4
중요한 계정은 생성한 긴 비밀번호 + 비밀번호 관리자 + 다중 인증으로 보호하세요.
왜 중요한가
자주 묻는 질문
Q입력한 비밀번호는 어딘가로 전송되나요?
비밀번호 자체는 전송되지 않습니다. 강도 계산과 생성은 브라우저 안에서 끝납니다. 유출 확인 버튼을 눌렀을 때만 해시의 앞 5자리를 Have I Been Pwned로 보냅니다(다음 질문 참고).
Q‘크랙 시간’은 얼마나 정확한가요?
공격자의 하드웨어와 해싱 방식에 따라 크게 달라지므로 어디까지나 참고용입니다. 여기서는 고속 오프라인 무차별 대입(초당 약 100억 회 추측)을 가정합니다. 엔트로피(비트)가 더 객관적인 지표입니다.
Q유출 확인은 어떤 원리인가요? 안전한가요?
k-익명성 방식입니다. 브라우저가 비밀번호를 SHA-1로 해시하고 앞 5자리만 보내면, Have I Been Pwned는 같은 5자리로 시작하는 수백 개의 해시를 돌려줍니다. 일치하는 것이 있는지는 브라우저 안에서 비교하므로, HIBP도 이 사이트도 어떤 비밀번호를 확인했는지 알 수 없습니다. HIBP에 전달되는 것은 5자리와 사용자의 IP 주소입니다. 전송 내용은 브라우저 개발자 도구의 ‘네트워크’ 탭에서 확인할 수 있습니다.
Q‘찾지 못했습니다’라고 나오면 안전한가요?
안전하다는 보장은 아닙니다. 유통된 유출 데이터만 포함되어 있습니다. 짧은 비밀번호나 단어만 조합한 비밀번호는 유출된 적이 없어도 추측으로 뚫릴 수 있습니다. 강도 결과도 함께 보고, 사이트마다 다른 긴 비밀번호를 사용하세요.