강력한 비밀번호 생성기 — 무작위 비밀번호 & 패스프레이즈

강력한 무작위 비밀번호, 기억하기 쉬운 패스프레이즈, PIN을 생성하세요. 모든 처리가 브라우저에서 이루어지며 아무것도 전송되거나 저장되지 않습니다.

최상 · 엔트로피 약 126비트

개수

일괄 모드: "개수"를 설정하면 같은 설정으로 한 번에 최대 1,000개까지 만들 수 있습니다.

길이: 20자

대문자 (A-Z)숫자 (0-9)기호비슷한 문자 제외 (0/O, 1/l/I)

브라우저가 암호화 키에 쓰는 것과 같은 난수 소스인 crypto.getRandomValues로 브라우저에서 생성됩니다. 아무것도 전송·저장·기록되지 않으며, 페이지 주소에도 비밀번호가 나타나지 않습니다. 인터넷 연결을 끊어도 작동합니다.

문제를 발견하셨거나 개선할 점이 있나요? 모든 메시지를 읽고 빠르게 고칩니다.

이 무료 비밀번호 생성기는 강력한 무작위 비밀번호, 기억하기 쉬운 패스프레이즈, PIN을 브라우저에서 바로 만듭니다. 아무것도 전송되지 않고, 저장되지 않으며, 기록되지 않습니다. 비밀번호는 복사하기 전까지 화면에만 존재합니다. 인터넷 연결을 끊어도 도구가 그대로 동작하는데, 이것이 비밀번호를 어디에도 보내지 않는다는 가장 간단한 증거입니다. 테스트 계정이나 팀 배포용으로 여러 개가 필요하다면 "개수"를 설정하세요. 같은 설정으로 각각 독립적으로 최대 1,000개까지 한 번에 만들어 복사하거나 .txt 또는 .csv 파일로 다운로드할 수 있습니다.

난수는 Math.random이 아니라 브라우저의 암호학적 난수 생성기인 crypto.getRandomValues에서 나옵니다. 이 차이는 이 페이지의 어떤 옵션보다 중요합니다. Math.random은 예측 가능성이 높아 공격자가 출력값 몇 개만 보면 수열을 재구성할 수 있고, 그러면 이를 바탕으로 만든 비밀번호는 쓸모가 없어집니다. 여기서는 모든 문자를 모듈로 편향 없이 뽑으므로 각 문자가 나올 확률이 정말로 같습니다.

사용 방법

유형을 고르세요. 비밀번호 관리자에 저장할 것은 무작위 비밀번호, 기억해서 입력해야 하는 몇 안 되는 비밀번호는 패스프레이즈, 기기용은 PIN입니다.
길이를 정하세요. 무작위 비밀번호는 16자 이상, 패스프레이즈는 7단어 이상으로 하세요. 짧은 패스프레이즈는 보기보다 약합니다.
사이트에서 기호를 받지 않으면 문자 종류를 조정하고, 비밀번호를 직접 입력하거나 소리 내어 읽어야 한다면 '헷갈리는 문자 제외'를 켜세요.
막대 아래의 엔트로피 수치를 확인하세요. 80비트 이상을 목표로 하세요. 비밀번호를 추측하기가 얼마나 어려운지 실제로 나타내는 수치입니다.
복사해서 비밀번호 관리자에 바로 붙여 넣으세요. 자신에게 이메일로 보내거나 메모에 적어 두지 마세요.
여러 개가 필요하다면 "개수"(최대 1,000)를 설정한 다음 모두 복사하거나 목록을 .txt 또는 .csv로 다운로드하세요.

자주 묻는 질문

비밀번호를 한 번에 여러 개 생성할 수 있나요?

네. "개수"를 최대 1,000까지 원하는 숫자로 설정하면 현재 설정(무작위 비밀번호, 패스프레이즈 또는 PIN)으로 그만큼 만들어 줍니다. 각각 crypto.getRandomValues로 독립적으로 생성하며, 완전히 같은 중복은 제거됩니다. 한 번에 모두 복사하거나 .txt 파일(한 줄에 하나) 또는 .csv 파일로 다운로드하세요. 하나씩 만들 때와 마찬가지로 목록은 브라우저에서 생성되며 어디에도 전송되지 않습니다. 자릿수가 적은 PIN은 서로 다른 값의 수가 요청한 개수보다 적을 수 있으며, 그런 경우 도구가 알려 줍니다.

이 비밀번호 생성기는 안전한가요?

비밀번호는 브라우저가 암호화 키를 만들 때 쓰는 것과 같은 난수원인 crypto.getRandomValues로 브라우저 안에서 만들어집니다. 네트워크로 전송되지 않고, 저장되지 않으며, 페이지 주소에 기록되지 않고, 로그에도 남지 않습니다. 인터넷 연결을 끊어 보면 확인할 수 있습니다. 생성기는 계속 동작합니다. 모든 온라인 생성기에 남는 유일한 위험은 페이지 자체가 변조되는 것이며, 그래서 가장 중요한 계정에는 여전히 비밀번호 관리자의 내장 생성기가 가장 안전합니다.

2026년에는 비밀번호가 얼마나 길어야 하나요?

비밀번호 관리자에 저장하는 비밀번호라면 16자 이상의 무작위 문자열이 좋습니다. NIST SP 800-63B 개정 4판은 비밀번호가 유일한 인증 수단인 경우 최소 15자를 권장하며, 시스템이 최소 64자까지 받아야 한다고 말합니다. 길이가 복잡성보다 훨씬 큰 역할을 합니다. 소문자로만 된 16자 비밀번호가 대소문자, 숫자, 기호를 섞은 8자 비밀번호보다 추측하기가 훨씬 어렵습니다.

패스프레이즈가 무작위 비밀번호보다 나은가요?

기기 로그인이나 비밀번호 관리자의 마스터 비밀번호처럼 기억해서 입력해야 하는 몇 안 되는 비밀번호에는 더 낫습니다. NIST도 패스프레이즈를 명시적으로 권장합니다. 이 도구의 1,169단어 목록으로 만든 7단어 패스프레이즈는 약 71비트로, 기억하기 쉽고 추측하기 어렵습니다. 반면 20자 무작위 문자열은 기억하기도 어렵습니다. 나머지 모든 경우에는 무작위 비밀번호를 쓰고 관리자가 기억하게 하세요.

엔트로피 점수는 무엇을 뜻하나요?

비트 단위 엔트로피는 공격자에게 필요한 추측 횟수를 나타내는 척도입니다. 1비트가 늘 때마다 그 횟수가 두 배가 됩니다. 45비트 미만은 유출된 비밀번호 데이터베이스에 대한 오프라인 공격에 약하고, 80비트는 넉넉하며, 100비트 이상은 예측 가능한 어떤 무차별 대입 공격으로도 불가능한 수준입니다. 흔히 보는 색깔 강도 표시는 'P@ssw0rd!'가 기호를 포함한다고 높은 점수를 주면서 이것이 세상에서 가장 많이 시도되는 비밀번호 중 하나라는 점은 놓치곤 하는데, 엔트로피가 그보다 정직한 척도입니다.

비밀번호를 90일마다 바꿔야 하나요?

아닙니다. NIST는 이제 오히려 그러지 말라고 권고합니다. 주기적인 강제 변경은 사람들이 예측하기 쉬운 작은 변화(Summer2025, Summer2026)를 주게 만들어 비밀번호를 더 추측하기 쉽게 합니다. 현재 지침은 계정마다 길고 고유한 비밀번호를 쓰고, 유출 알림처럼 침해 증거가 있을 때만 바꾸는 것입니다.

이 도구를 쓰면 비밀번호 관리자가 필요 없나요?

여전히 필요합니다. 생성기는 추측하기 어려운 비밀번호를 만드는 한 가지 문제만 해결합니다. 관리자는 더 어려운 문제, 즉 아무것도 외우지 않고 계정마다 다른 강력한 비밀번호를 쓰는 문제를 해결합니다. 강력한 비밀번호를 만들어 놓고 모든 곳에 재사용하면 그 사이트 중 하나만 유출되어도 바로 위험해집니다.

길이가 복잡성을 이기며, 차이는 압도적입니다

대문자 하나, 숫자 하나, 기호 하나라는 옛 조언은 비밀번호가 짧던 시절에 나왔습니다. 이 규칙은 사람은 기억하지 못하고 공격자는 예측할 수 있는 비밀번호를 만듭니다. 모두가 같은 방식으로 규칙을 지키기 때문입니다. 첫 글자를 대문자로 하고, 숫자와 느낌표를 끝에 붙이는 식이죠.

실제 추측 공간을 비교해 보세요. 대문자, 소문자, 숫자, 기호를 쓴 8자 비밀번호의 엔트로피는 약 52비트입니다. 소문자만 쓴 16자 비밀번호는 약 75비트입니다. 두 번째가 추측하기 약 800만 배 어렵고, 입력하기도 더 쉽습니다.

그래서 NIST SP 800-63B 개정 4판은 필수 구성 규칙을 없애고 대신 권장 길이를 늘렸습니다. 이 페이지에서 한 가지만 기억한다면, 비밀번호를 더 꾸미기보다 더 길게 만드세요.

어떤 유형을 언제 쓸까

• 무작위 비밀번호, 16~24자: 비밀번호 관리자에 저장하는 모든 것, 즉 거의 모든 계정. 직접 입력할 일이 없으니 길어도 손해가 없습니다.

• 패스프레이즈, 7단어 이상: 기억해서 입력해야 하는 두세 개의 비밀번호. 단어 목록의 크기가 중요하므로 단어 수보다 비트 수를 확인하세요. 비밀번호 관리자의 마스터 비밀번호, 노트북 로그인, 휴대폰 백업 등입니다.

• PIN: 하드웨어가 공격자의 시도 횟수를 제한하는 기기 잠금 해제에만. 6자리 PIN의 엔트로피는 약 20비트로, 오프라인 공격에는 속수무책이지만 세 번만 시도할 수 있는 상태로 휴대폰을 든 사람에게는 충분합니다.

생성기로 해결할 수 없는 것

강력한 비밀번호는 계정 하나를 보호합니다. 실제 침해의 대부분을 일으키는 세 가지 실패 요인에는 아무 도움이 되지 않습니다. 여러 사이트에서 같은 비밀번호를 재사용해 한 곳이 유출되면 나머지도 열리는 것, 자신도 모르게 비밀번호를 넘겨주는 피싱, 그리고 비밀번호를 도난당해도 그것만으로는 부족하게 만드는 두 번째 인증 수단의 부재입니다.

제공되는 곳마다 2단계 인증을 켜고, SMS보다 인증 앱이나 패스키를 쓰고, 모든 곳에서 다른 비밀번호를 쓰세요. 생성기는 그중 일부일 뿐 대신할 수는 없습니다.

기업에도 같은 논리가 더 큰 규모로 적용됩니다. 사람마다 고유한 자격 증명, 최소 권한 접근, 퇴사 시 한곳에서 접근 권한을 회수하는 방법이 필요합니다. 저희가 클라우드 인프라와 사이버 보안 프로젝트의 일부로 하는 접근 제어 작업이 바로 이것입니다.