# 비밀번호 강도 검사기 · password.es

> 대문자나 기호의 개수는 세지 않습니다. 단어·이름·도시·날짜·키보드 패턴 사전에서 비밀번호를 찾아보고, 실제로 몇 번 시도하면 맞힐 수 있는지 추정합니다.

password.es · Original: https://password.es/ko/checker/

---

# 비밀번호를 깊이 있게 분석하세요

대문자나 기호의 개수는 세지 않습니다. 단어·이름·도시·날짜·키보드 패턴 사전에서 비밀번호를 찾아보고, 실제로 몇 번 시도하면 맞힐 수 있는지 추정합니다.

모든 분석은 브라우저 안에서만 이루어집니다. 정보를 전송하거나 결과를 저장하지 않습니다.

기본값으로 비밀번호를 숨깁니다. 측면 버튼으로 표시 여부를 전환할 수 있습니다.

판정은 백분율이 아니라 시간에서 나옵니다.

무차별 대입으로 뚫는 데 걸리는 시간

## 비밀번호에서 찾은 것

- 위에 비밀번호를 입력하면 분석합니다.

알려진 패턴을 찾지 못했으므로 이 수치는 **상한**입니다. 비밀번호가 정말 무작위라면 맞지만, 직접 생각해 낸 것이라면 실제로는 훨씬 낮을 가능성이 큽니다.

무차별 대입은 **초당 10^12회 시도**를 기준으로 추정합니다. 빠른 해시에 대한 *오프라인* 공격의 규모이며, [생성기](https://password.es/)와 같은 모델입니다. `bcrypt`나 `Argon2` 같은 느린 해시에서는 이 수치가 여러 자릿수 올라갑니다.

## 어떻게 동작하고, 무엇을 알 수 없는가

유출된 비밀번호·단어·이름·성·도시·날짜·키보드 경로 사전에서 찾아보고, 거꾸로 쓰기나 `a`를 `@`로 바꾸기 같은 흔한 수법도 알아냅니다. 오픈소스인 [zxcvbn-ts](https://github.com/zxcvbn-ts/zxcvbn)를 전부 브라우저 안에서 실행합니다.

**알 수 없는 것:** 패턴을 찾으면 그 수치는 믿을 만합니다. 그 패턴이 공격자가 쓸 지름길이기 때문입니다. 못 찾으면 수치는 **상한**일 뿐입니다. 당신의 패턴을 모른다는 뜻이지, 없다는 뜻이 아닙니다.

그래서 이 사이트에서 유일하게 정확한 수치는 [생성기](https://password.es/)에 있습니다. 거기서는 기계가 무작위로 만들기 때문에 조합의 수를 정확히 압니다. 여기서는 추정만 가능합니다.

비밀번호를 어디로도 보내지 않고 저장하지도 않습니다. 네트워크를 지나는 것은 분석기뿐이며, 입력을 시작할 때 내려받습니다.

## 순위를 읽는 법

판정은 그것을 깨는 데 걸리는 시간에서 나옵니다. 문자 종류의 다양함에 점수를 더한 합계가 아닙니다. 「매우 약함」은 오프라인 공격에 1초도 못 버틴다는 뜻이고, 「매우 강함」은 십만 년이 넘는다는 뜻입니다. 그래도 비밀번호는 절대 재사용하지 말고 제대로 된 관리자에 기대세요.

문자를 섞고 예측 가능한 패턴(1234, qwerty, 개인적인 날짜)은 피하세요. 주황색 경고가 뜨면 읽어 보세요. 당신의 열쇠를 실제로 약하게 만드는 것을 가리킵니다.

## 자주 묻는 질문

### 어떤 알고리즘을 쓰나요?

zxcvbn입니다. 단어·이름·도시·날짜·키보드 패턴 사전에서 비밀번호를 찾아보고 몇 번 시도하면 맞힐 수 있는지 추정하는 오픈 소스 라이브러리입니다. 예전에는 PasswordMeter(2006)를 썼습니다. 문자 종류의 다양함을 세는 방식이라 `Password1!`을 「매우 강함」이라 하고 무작위 다섯 단어 구문을 「매우 약함」이라 했습니다. 정확히 반대였습니다.

### 제 비밀번호가 저장되나요?

결코 아닙니다. 계산은 당신의 브라우저 안에서 일어나고 서버로는 아무것도 보내지 않습니다. 인터넷을 끊어도 계속 작동합니다.

### 「충분한」 비밀번호란?

충분히 오래 버티고 어느 사전에도 나오지 않는 비밀번호입니다. 「강함」이나 「매우 강함」을 목표로 하고, 발견 목록이 비어서 돌아오게 하세요. 우리가 찾아내는 패턴은 공격자도 가진 지름길입니다. 그렇더라도 관리자와 2단계 인증을 함께 쓰세요.

### 다른 자료로는 무엇을 추천하나요?

생성기 외에 password.es의 안내서를 보세요. 기억하기 쉬운 비밀번호를 만드는 법과 관리자나 물리 보안 키 같은 추가 조치를 켜는 법을 다룹니다.

### 생성기는 기호를 27개만 쓰는데 여기서는 33개로 세는 이유는?

재는 대상이 다르기 때문입니다. 여기서는 당신이 기호를 입력하면 ASCII 자판의 33개 중 무엇이든 될 수 있었다고 가정합니다. 공격자가 훑어야 하는 범위가 그것이니까요. 생성기가 27개인 것은 일부러입니다. 따옴표와 빗금을 뺐습니다. 터미널이나 스프레드시트, 설정 파일에 붙여 넣을 때 비밀번호를 망가뜨리기 때문입니다. 빠진 여섯 개의 값은 글자당 3분의 1비트도 되지 않습니다. 복사하는 순간 망가지는 비밀번호의 값은 그보다 훨씬 큽니다.