비밀번호 강도 검사

엔트로피 = 길이 × log₂(문자 풀 크기)로 강도를 추정한 뒤 흔한 패턴에 벌점을 매깁니다. 흔한 비밀번호, 키보드 배열 순서(qwer, asdf), 반복 문자가 대상입니다. 크랙 시간은 세 가지 위협 모형으로 보여 줍니다. 제한된 온라인 추측(초당 100회), bcrypt 같은 느린 오프라인 해시(초당 1만 회), SHA-256 같은 빠른 오프라인 해시(초당 100억 회)입니다. 비밀번호는 저장하거나 전송하거나 기록하지 않습니다.

풀 크기 공식은 그 풀에서 무작위로 뽑은 비밀번호를 설명하는데, 여러분의 비밀번호는 거의 확실히 그렇지 않습니다. 사람이 고른 비밀번호는 문자 집합이 시사하는 것보다 훨씬 작은 공간에 놓입니다. 사람들은 단어를 고르고, 첫 글자를 대문자로 쓰고, 숫자와 문장부호를 끝에 붙이고, e를 3으로 바꾸기 때문입니다. 여기의 패턴 벌점이 그중 흔한 습관들을 보정하지만 어떤 휴리스틱도 전부를 잡아내지는 못하므로, 이 숫자는 강도의 측정값이 아니라 상한으로 받아들이십시오.

세 위협 모형의 차이는 이름이 암시하는 것보다 크고, 그 격차는 대개 비밀번호를 어떻게 바꾸든 그 효과보다 큽니다. 제한된 온라인 추측이라면 수백 년을 버틸 같은 비밀번호가, 빠른 해시를 돌리는 GPU 앞에서는 몇 시간 만에 무너집니다. 어느 모형이 적용되는지는 비밀번호가 아니라 그것을 저장하는 서비스의 속성이며, 특정 사이트가 어느 쪽인지 알아낼 방법은 보통 없습니다.

다른 무엇보다 길이가 지배적입니다. 한 글자를 더하면 탐색 공간이 풀 크기만큼 곱해지지만, 문자 종류를 하나 더 쓰는 것은 그 시점부터 한 번만 곱해질 뿐입니다. 그래서 평범한 단어로 이루어진 긴 구절이 짧은 기호 문자열을 큰 차이로 앞섭니다.

여기 나오는 어느 값도 실제로 대부분의 계정을 무너뜨리는 위험을 재지는 않습니다. 아무리 강한 비밀번호라도 유출 목록에 한 번 오르면 가치가 없어지고, 사이트 간 재사용이 한 번의 유출을 여러 건으로 바꿉니다. 비밀번호 관리자와 사이트마다 다른 비밀번호가 여기 어떤 점수보다 중요하며, 다단계 인증은 그 둘보다 더 중요합니다.