보안 가이드
비밀번호 엔트로피 설명
비밀번호 엔트로피, 검색 공간, 알파벳 크기, 길이를 이해하고 이론적 비트가 단지 상한 추정치인 이유를 알아보세요.
요약
비밀번호 엔트로피는 공격자가 탐색해야 하는 검색 공간의 크기를 설명하는 방법입니다. 균일하게 무작위인 비밀번호의 경우 유용한 상한 공식은 다음과 같습니다:
bits = length × log2(alphabet size)비밀번호 크랙 시간 계산기를 사용하여 가정을 비교하세요.
알파벳 크기
알파벳 크기는 가능한 문자의 수입니다. 소문자는 26가지 옵션을 제공합니다. 대문자와 소문자를 합치면 52가지입니다. 숫자를 추가하면 62가지가 됩니다. 기호는 풀을 더 늘릴 수 있지만, 서비스가 이를 허용하고 생성기가 무작위로 선택하는 경우에만 해당됩니다.
길이
길이는 검색 공간을 곱합니다. 더 긴 무작위 비밀번호는 일반적으로 예측 가능한 기호로 장식된 짧은 비밀번호보다 더 큰 실질적 개선을 제공합니다.
상한 경고
이 공식은 모든 위치가 알파벳에서 균일하게 선택된다고 가정합니다. 사람이 만든 문구, 재사용된 비밀번호, 사전 단어, 날짜, 키보드 패턴, 유출된 자격 증명 또는 편집된 출력에는 적용되지 않습니다. 또한 서비스 측 해싱이나 온라인 속도 제한을 모델링하지 않습니다.
실용적 권장 사항
- 엔트로피를 보장이 아닌 비교 도구로 취급하세요.
- 무작위로 생성된 값을 선호하세요.
- 제한된 알파벳의 경우 더 긴 길이를 사용하세요.
- 모든 비밀번호를 고유하게 유지하세요.
- 결과를 안전하게 저장하세요.
상세 안내
이 가이드는 과장 없이 비밀번호 엔트로피를 해석하는 데 중점을 둡니다. 길이, 알파벳 크기, 암호문구 단어 목록을 비교하는 독자를 위해 작성되었으므로, 실용적 목표는 극적인 보안 주장을 만드는 것이 아닙니다. 목표는 일상적인 사용(로그인 양식, 비밀번호 관리자, 모바일 키보드, 계정 복구, 공유 기기, 가끔 이상한 유효성 검사 규칙이 있는 서비스)에서 생존할 수 있는 비밀번호 습관을 선택하는 것입니다. 실제 사람이 일관되게 따를 수 있을 때만 안전한 권장 사항이 유용합니다.
가장 안전한 출발점은 무작위성과 고유성을 결합하는 것입니다. 무작위성은 값이 생일, 애완동물 이름, 키보드 패턴, 좋아하는 인용문에서 발명된 것이 아니라 암호학적으로 적합한 무작위 소스에 의해 큰 공간에서 선택됨을 의미합니다. 고유성은 동일한 비밀번호가 다른 곳에서 사용되지 않음을 의미합니다. 길지만 재사용된 비밀번호는 관련 없는 유출 후 빠르게 실패할 수 있는 반면, 고유한 무작위 비밀번호는 사용된 단일 계정으로 피해를 제한합니다.
이 주제의 경우, 균일하게 무작위인 비밀번호에 대해 길이에 무작위 알파벳 크기의 log2를 곱한 실용적인 사전 설정이 있습니다. 비밀번호 강도 검사기로 이 사전 설정을 적용한 다음 최종 값을 신뢰할 수 있는 비밀번호 관리자에 저장할 수 있습니다. PwdGen은 Web Crypto를 사용하여 브라우저에서 로컬로 값을 생성합니다. 생성된 비밀번호는 PwdGen 서버로 전송되지 않습니다. 이 로컬 설계는 서버 측 노출을 줄이지만 모든 위협으로부터 보호하지는 않습니다. 악성 브라우저 확장 프로그램, 손상된 장치, 피싱 페이지, 안전하지 않은 클립보드 처리는 생성 후에도 비밀을 노출할 수 있습니다.
피해야 할 가장 일반적인 문제는 사람이 선택한 비밀번호에 단순 공식을 적용하고, 재사용을 무시하며, 추정치를 보장으로 취급하는 것입니다. 이러한 문제는 인간의 습관이 지름길을 제공할 때 공격자가 모든 가능한 비밀번호를 무차별 대입할 필요가 거의 없기 때문에 중요합니다. 크리덴셜 스터핑, 피싱, 유출된 비밀번호 목록, 계정 복구 남용은 종종 순수 수학적 검색보다 더 현실적입니다. 그렇기 때문에 최고의 조언은 비밀번호 품질을 MFA, 패스키, 복구 코드 저장, 복구 이메일 또는 전화 설정 정기 검토와 같은 계정 수준 제어와 결합합니다.
권장 사항을 적용할 때 이 체크리스트를 사용하세요:
- 무작위 생성에만 엔트로피를 사용하세요.
- 사람 입력에는 zxcvbn 스타일 검사를 사용하세요.
- 알파벳 제한이 적용될 때 길이를 늘리세요.
- 저장 해시가 공격 속도에 영향을 미친다는 점을 기억하세요.
웹사이트가 이상적인 설정을 거부하는 경우, 수동으로 비밀번호를 더 약한 패턴으로 강제하지 마세요. 한 번에 하나의 변수를 조정하세요. 기호가 거부되면 대문자, 소문자, 숫자를 활성화하고 길이를 늘리세요. 최대 길이가 짧으면 허용된 최대 길이를 사용하고 값이 고유한지 확인하세요. 비밀번호를 소리내어 읽거나, 인쇄하거나, TV나 라우터 화면에 입력해야 하는 경우 혼동을 줄이는 문자를 제외하고 더 작은 알파벳을 보상하기 위해 길이를 늘리는 것을 고려하세요.
마지막으로, 비밀번호 조언의 경계를 기억하세요. 강력한 비밀번호는 하나의 방어 계층이지 보장이 아닙니다. 피싱 페이지를 안전하게 만들거나, 맬웨어를 수정하거나, 자격 증명을 제대로 저장하지 않는 서비스를 보상할 수 없습니다. 유용한 습관은 지루하지만 내구성이 있습니다: 고유한 값을 생성하고, 안전하게 저장하고, 복구 경로를 보호하고, 노출이 의심되면 신속하게 교체하세요.
안전한 다음 단계
이 가이드를 읽은 후, 모든 것을 한 번에 고치려고 하지 말고 작은 계정 감사를 하나 수행하세요. 탈취 시 가장 큰 문제를 일으킬 계정을 선택하고, 비밀번호가 고유한지 확인한 다음 복구 이메일, 복구 전화, MFA 방법, 백업 코드 저장을 확인하세요. 해당 체인의 어느 부분이 약하면 위험이 낮은 계정으로 이동하기 전에 해당 부분을 개선하세요. 이 순서는 작업을 관리 가능하게 유지하고 공격자가 발판으로 사용할 가능성이 가장 높은 계정을 보호합니다. 비밀번호 엔트로피 설명의 경우 최상의 결과는 반복 가능한 습관입니다: 로컬에서 생성하고, 신중하게 저장하고, 재사용을 피하세요.
자주 묻는 질문
간단한 엔트로피 공식은 무엇인가요?
균일하게 무작위인 문자의 경우, 일반적인 상한 공식은 길이에 알파벳 크기의 log2를 곱한 것입니다.
엔트로피가 단지 추정치인 이유는 무엇인가요?
균일한 무작위 선택을 가정하며 재사용, 유출, 인간 편집, 손상된 장치, 대상 저장소를 고려하지 않습니다.
기호가 항상 더 많은 엔트로피를 추가하나요?
기호는 무작위로 선택될 때 알파벳 크기를 증가시키지만, 길이를 추가하는 것이 종종 더 크고 사용하기 쉬운 이점을 제공합니다.