비밀번호 크랙 시간 추정기

대부분의 비밀번호 강도 측정기는 색상 막대와 '약함', '좋음', '강함' 같은 임의의 레이블만 표시할 뿐 그 근거를 확인할 방법이 없습니다. 이 도구는 정반대의 방식을 취하여 계산의 모든 단계를 보여줍니다. 비밀번호를 입력하면 어떤 문자 집합(소문자, 대문자, 숫자, 기호)을 사용했는지 감지하고, 그 결과로 나온 풀 크기를 합산한 다음, 비밀번호의 정확한 길이와 풀 크기를 표준 엔트로피 공식인 엔트로피 = 길이 x log2(풀 크기)에 대입하는 과정을 지켜볼 수 있습니다. 따라서 블랙박스를 믿는 대신 그 숫자를 직접 확인할 수 있습니다.

엔트로피만으로는 전체 그림을 알 수 없으므로, 이 도구는 비밀번호를 원래 길이보다 더 쉽게 추측하게 만드는 패턴도 찾아냅니다. 'abc'나 '456' 같은 순차적 연속 문자열, 'aaa' 같은 반복 문자열, 그리고 지금까지 공개된 가장 흔한 유출 비밀번호 약 100개로 구성된 작은 내장 목록과의 정확한 일치 여부를 확인합니다. 이것은 실제 유출 데이터베이스에 연결하는 것이 아니라 정직한 오프라인 휴리스틱입니다. 하지만 일치하는 패턴이 발견되면, 크랙 시간 표에 사용되는 유효 엔트로피가 줄어듭니다(흔한 비밀번호 일치의 경우 해당 목록 크기 근처로 제한됩니다). 실제 공격자는 이론적인 키 공간 크기와 관계없이 명백한 추측을 먼저 시도할 것이기 때문입니다.

크랙 시간 표는 이 유효 엔트로피를 실제 시간 추정치로 변환하며, 현실적인 공격 범위를 아우르는 다섯 가지 시나리오를 제시합니다. 속도 제한이 있는 온라인 로그인 폼(초당 약 100회 추측), 속도 제한이 없는 온라인 폼(초당 약 1,000회 추측), bcrypt, scrypt, Argon2처럼 의도적으로 느리고 비용이 많이 드는 해시에 대한 오프라인 공격(초당 약 10,000회 추측), 단일 소비자용 GPU에서 MD5, SHA-1, NTLM 같은 빠르고 솔트가 없는 해시에 대한 오프라인 공격(초당 약 100억 회 추측), 그리고 대규모 다중 GPU 클러스터에서 동일한 빠른 해시를 크래킹하는 경우(초당 약 1조 회 추측)입니다. 이 추측 속도는 널리 공개된 하드웨어 및 해싱 벤치마크에서 가져온 예시적인 자릿수 단위 수치이며, 특정 공격자, 장치 또는 연도를 대상으로 한 예측이 아닙니다. 바로 이 때문에 동일한 비밀번호가 빠른 오프라인 해시에 대해서는 '즉시' 뚫리고, 느리고 속도 제한이 있는 공격에 대해서는 '수 세기'가 걸릴 수 있는 것입니다.

위의 모든 과정은 브라우저 탭 안에서 순수한 JavaScript 문자열 분석과 Math.log2 연산으로만 실행됩니다. 암호화 해싱이나 서버 왕복 통신은 전혀 없으며, 무엇보다 이 도구 내에서는 어떤 종류의 네트워크 요청도 발생하지 않습니다. 여러분이 입력한 비밀번호는 어디에도 전송, 기록, 저장되지 않으며, 페이지가 로드된 후에는 인터넷 연결을 끊어도 전체 페이지가 계속 작동합니다.