비밀번호 생성기

랜덤 비밀번호 생성기란?

랜덤 비밀번호 생성기는 사람이 고르는 대신 암호학적으로 안전한 난수 생성기로 문자를 골라 비밀번호를 만드는 도구예요. 사람은 예측 가능해요. 이름, 날짜, 키보드 패턴, 공격자가 가장 먼저 시도하는 "Password1!" 같은 변형을 써요. 생성기에는 습관이 없어서 모든 문자가 독립적이고 예측할 수 없는 선택이에요.

이 강력한 비밀번호 생성기는 전부 브라우저에서 실행돼요. 브라우저가 보안 작업용으로 제공하는 Web Crypto API인 crypto.getRandomValues를 쓰고, 거부 샘플링(rejection sampling)으로 문자 풀의 모든 문자가 정확히 같은 확률로 뽑히게 해요(단순히 "난수를 풀 크기로 나눈 나머지"를 쓰면 일부 문자가 조금 더 자주 나와요). 그다음 같은 안전한 소스로 문자 순서를 섞어요.

강력한 비밀번호 만드는 법

1. 슬라이더로 길이를 정하세요. 6자부터 64자까지예요. 16에서 시작하고, 드래그하는 동안 새 비밀번호가 나타나요.
2. 문자 종류를 고르세요: 대문자(A-Z), 소문자(a-z), 숫자(0-9), 기호(!@#$%^&*()-_=+[]{};:,.?/). 기본으로 네 가지 모두 켜져 있어요. 비밀번호에는 고른 종류마다 최소 한 글자씩 항상 들어가요. 모두 해제하면 소문자가 다시 켜져요.
3. 비밀번호를 소리 내어 읽거나 종이에 적힌 걸 보고 입력할 일이 있다면 "헷갈리는 문자 제외(0O1lI)"를 체크하세요. 0, O, 1, l, I를 빼요.
4. 강도 표시를 확인하세요. 막대와 라벨(약함, 보통, 강함, 매우 강함)은 라벨 옆에 표시되는 비트 단위 엔트로피를 기준으로 해요.
5. 같은 설정으로 새 비밀번호를 원하면 다시 생성을 누르고, 비밀번호 복사를 눌러 바로 비밀번호 관리자에 저장하세요.

비밀번호 엔트로피 쉽게 설명하기

엔트로피는 공격자가 몇 번 추측해야 하는지를 비트로 나타낸 값이에요. 1비트가 늘 때마다 가능한 비밀번호 수가 두 배가 돼요. 무작위 비밀번호의 공식은 비트 = 길이 × log2(가능한 문자 수)예요.

네 가지 문자 종류를 모두 켜면 이 도구는 86개 문자 중에서 골라서, 문자 하나가 약 6.4비트를 더해요. 헷갈리는 문자를 빼면 풀은 81개 문자(문자당 약 6.3비트)가 돼요.

강도 표시는 이 구간을 써요: 40비트 미만 약함, 40-63 보통, 64-95 강함, 96 이상 매우 강함.

숫자를 실감 나게 보려면, 비밀번호 데이터베이스를 훔쳐 초당 1,000억 번 추측할 수 있는 공격자를 떠올려 보세요(자금이 넉넉한 가상의 오프라인 공격). 51비트는 몇 시간 만에 뚫려요. 77비트는 평균 수만 년이 걸려요. 103비트는 예측 가능한 어떤 하드웨어로도 닿을 수 없어요. 복잡함보다 길이가 이긴다는 점에 주목하세요. 소문자 16자(75비트)가 모든 종류를 섞은 12자(77비트)와 거의 비슷하게 강해요.

엔트로피는 진짜 무작위 비밀번호에만 적용돼요. "Summer2026!"은 네 가지 문자 종류를 쓴 것 같지만, 공격자는 단어, 연도, 끝에 붙은 기호를 가장 먼저 시도하므로 실제 강도는 아주 낮아요.

비밀번호는 몇 자리가 적당할까?

• 12자(모든 종류): 중요도가 낮은 계정을 위한 현실적인 최소 길이.
• 16자: 비밀번호 관리자에 저장하는 모든 계정에 좋은 기본값.
• 20자 이상: 이메일, 은행, 비밀번호 관리자의 마스터 계정(패스프레이즈로, 아래 참고), 관리자 계정. 이메일 계정으로 다른 모든 비밀번호를 재설정할 수 있으니 가장 단단히 지키세요.

현재 NIST 가이드(SP 800-63B)는 구성 규칙보다 길이를 중시하고, 유출 증거가 없다면 정기적인 비밀번호 변경을 강요하지 말라고 하며, 작성 시점 기준 비밀번호가 유일한 로그인 수단이라면 최소 15자를 권장해요. 일부 오래된 사이트는 아직 길이를 12자나 16자로 제한하거나 특정 기호를 거부해요. 사이트가 비밀번호를 거부하면 외우기 쉬운 걸로 바꾸지 말고 기호를 해제하거나 길이를 줄이세요.

어떤 설정을 쓸까: 예시

• 와이파이: WPA2와 WPA3는 8~63자를 받아요. 20자 이상으로 하고, 손님이 입력할 수 있게 기호를 해제하고 "헷갈리는 문자 제외"를 체크하거나, 대신 와이파이 QR 코드로 공유하세요.
• SNS와 이메일: 모든 종류를 켠 16~20자를 관리자에 저장하고 2단계 인증을 켜세요.
• 스마트 TV나 게임기 로그인: 리모컨으로 입력하기 느리니 헷갈리는 문자와 기호를 끈 16~20자를 쓰세요. 길이가 강도를 지켜 줘요.
• 팀 공유 계정(가게 인스타그램, 클라이언트 웹사이트 관리자): 팀원이 나갈 때마다 새 비밀번호를 생성하세요.
• 암호화된 PDF나 ZIP 파일: 훔친 파일은 추측 횟수 제한 없이 오프라인으로 공격할 수 있으니 20자 이상으로 하세요. 비밀번호는 파일과 다른 경로로 보내세요.

패스프레이즈: 외우기 쉬우면서도 강력한 비밀번호

패스프레이즈는 orbit-cactus-lantern-velvet-ninety-plume처럼 무작위 단어 여러 개로 만든 비밀번호예요. q7#Rk!2vX9@m보다 외우고 입력하기 쉽고, 단어를 내가 아니라 무작위로 고르기만 하면 똑같이 강력할 수 있어요.

흔히 쓰는 Diceware 방식은 주사위 다섯 개를 굴려 7,776개 단어 목록에서 단어를 하나씩 골라서, 단어당 약 12.9비트를 줘요. 무작위 단어 다섯 개면 약 65비트, 여섯 개면 약 78비트, 일곱 개면 약 90비트예요. 마스터 비밀번호에는 여섯 단어 이상을 쓰세요.

이 도구는 단어 목록이 아니라 문자 기반 비밀번호를 만들어요. 꼭 외워야 하는 몇 개(비밀번호 관리자, 컴퓨터 로그인)에는 패스프레이즈를 쓰고, 관리자에 저장하는 나머지 모두에는 이 도구로 만든 문자 비밀번호를 쓰세요. 대부분의 비밀번호 관리자에도 패스프레이즈 옵션이 있어요.

비밀번호 관리자가 필요한 이유

강력한 무작위 비밀번호는 계정마다 다르게 써야 효과가 있는데, 100개를 외울 수 있는 사람은 없어요. 비밀번호 관리자는 비밀번호를 마스터 패스프레이즈 하나 뒤에 암호화해 저장하고, 대신 입력해 주고, 재사용되거나 유출된 비밀번호를 알려 줘요.

• 기본 제공 옵션: Apple 암호(iPhone, Mac), Google 비밀번호 관리자(Chrome, Android), Microsoft Edge 모두 비밀번호를 무료로 저장하고 동기화해요.
• 전용 관리자: Bitwarden, 1Password, Proton Pass, KeePass 계열 앱은 모든 브라우저와 기기에서 작동하고 공유와 보안 보고서도 제공해요.
• 이메일, 은행, SNS 계정에는 2단계 인증(인증 앱이나 패스키)을 추가하세요. 사이트가 패스키를 지원한다면 비밀번호보다 피싱에 더 강해요.

비밀번호 vs 패스프레이즈 vs 패스키

패스키는 Google, Apple, Microsoft, Amazon 등 많은 서비스로 퍼지고 있지만, 대부분의 웹사이트는 아직 비밀번호가 필요하고, 패스키 계정도 백업으로 비밀번호를 두는 경우가 많아요. 그 밖의 모든 곳에는 생성된 비밀번호와 2단계 인증이 여전히 올바른 기본값이에요.

피해야 할 흔한 비밀번호 실수

• 비밀번호 재사용. 한 사이트가 유출되면 공격자는 같은 이메일과 비밀번호를 모든 곳에 시도해요("크리덴셜 스터핑"). 계정마다 고유한 비밀번호를 쓰면 막을 수 있어요.
• 예전 비밀번호를 조금만 바꾸기. "Seoul@2025"를 "Seoul@2026"으로 바꾸는 건 공격자가 가장 먼저 시도하는 변형이에요.
• 개인 정보. 이름, 생일, 반려동물 이름, 전화번호, 인스타그램 아이디는 온라인에서 쉽게 찾을 수 있어요.
• 메모나 채팅에 비밀번호 저장. 메모 앱, 나에게 보낸 카카오톡이나 WhatsApp 메시지, 스프레드시트는 비밀번호 관리자처럼 암호화되지 않아요.
• 기호만 많은 짧은 비밀번호. 모든 종류를 섞은 8자(51비트)가 소문자 16자(75비트)보다 약해요.
• 스크린샷으로 공유. 팀원과 접근 권한을 꼭 나눠야 한다면 비밀번호 관리자의 공유 기능을 쓰세요.

이 비밀번호 생성기는 안전한가요?

네. 비밀번호는 브라우저의 암호학적 난수 생성기를 써서 JavaScript로 기기에서 만들어져요. 서버로 아무것도 전송되지 않고, 아무것도 저장되지 않으며, 비밀번호를 생성하거나 복사할 때 페이지는 네트워크 요청을 하지 않아요. 브라우저 개발자 도구의 네트워크 탭에서 직접 확인할 수 있어요. 각 비밀번호는 저장하기 전까지 화면과 클립보드에만 있어요. 복사한 비밀 정보가 다 그렇듯, 공용 컴퓨터에서는 클립보드를 비우세요.

프로필 링크 뒤의 계정을 지키세요

인스타그램, 이메일, 프로필 링크 계정은 내 비즈니스의 현관문이라, 각각 생성된 고유 비밀번호와 2단계 인증이 필요해요. Biolinko 페이지를 만들 때 이 도구로 만든 비밀번호를 쓰고 관리자에 저장하세요. 다른 유용한 무료 도구로는 QR 코드 생성기와 UTM 생성기가 있어요.