비밀번호 강도 검사기: 크랙 + 침해 확인 시간

위의 검사기에 비밀번호를 입력하세요. 귀하가 입력하는 어떤 내용도 이 사이트로 전송되거나 어디에도 저장되지 않습니다. 추정치는 귀하의 브라우저에서 실행되며 유출 검사는 아래에 설명된 개인 정보 보호 조회를 사용합니다.

체커가 측정하는 것

• 길이 및 문자 다양성. 각각의 추가 문자는 가능한 비밀번호의 수를 곱합니다. 길이를 늘리는 것이 문자를 기호로 바꾸는 것보다 훨씬 더 효과적입니다.
• 예측 가능한 패턴. 일반적인 비밀번호, 키보드 배열(qwerty, 123), 반복되는 문자 및 연도는 실제 검색 공간을 좁히므로 추정값에서 이를 뺍니다.
• 침해. 이미 침해에 나타난 비밀번호는 아무리 복잡하더라도 공격자가 먼저 시도할 수 있습니다. 따라서 유출 이력이 발견되면 좋은 강도 점수를 무시합니다.

추측 시간은 초당 100억 번의 추측으로 오프라인 공격을 가정합니다(빠른 해시로 도난당한 데이터베이스). 그리고 초당 100번의 추측을 하는 온라인 공격을 가정합니다(잠금 기능이 없는 로그인 페이지). 실제 공격은 단어 목록을 사용하고 규칙을 사용하므로, 이 수치들은 무작위 형태의 비밀번호에 대해서는 상한선으로, 그 외의 경우에는 넉넉한 수치로 간주하십시오.

유출 검사를 통해 비밀번호를 비공개로 유지하는 방법

검사기는 브라우저에서 비밀번호의 SHA-1 해시를 계산하고 **처음 5개의 16진수 문자만을 Have I Been Pwned의 Pwned Passwords 서비스로 전송합니다. 서비스는 해당 5개 문자로 시작하는 모든 유출된 해시를 반환합니다.(보통 약 2,000개)를 사용하면 검사기가 로컬에서 사용자의 문자를 찾습니다. 이를 k-익명성이라고 합니다: 서비스는 사용자가 확인한 비밀번호 또는 전체 해시를 결코 인식하지 못합니다.

비밀번호가 취약하거나 유출된 경우 대처 방법

1. 이메일, 뱅킹 등 사용했던 모든 곳에서 변경하세요.
2. 모든 계정에 대해 다른 비밀번호를 사용하십시오. 비밀번호 관리자를 사용하면 이를 실용적으로 만들 수 있습니다.
3. 짧고 복잡한 문자열보다 관련되지 않은 여러 단어로 구성된 긴 암호 문구를 선호합니다.
4. 제공되는 경우 다단계 인증을 활성화합니다.

소스

• 국립표준기술연구소, 디지털 신원 지침, SP 800-63B(강제된 복잡성보다 길이를 우선시; 유출된 비밀번호 목록을 통해 새 비밀번호를 검증)): pages.nist.gov/800-63-4.
• Have I Been Pwned, Pwned Passwords 및 k-익명성 범위 API: haveibeenpwned.com/Passwords.