비밀번호 생성기

비밀번호 생성기는 사람이 고르지 않은 비밀번호를 만들어 줍니다

이 도구는 길이와 넣을 문자를 고르면 그 조건에 맞는 비밀번호를 무작위로 만듭니다. 기본 설정은 소문자·대문자·숫자·기호 16개를 섞은 16자이고, 같은 설정에서 나올 수 있는 비밀번호는 약 1.62 × 10³⁰가지, 비트로 약 100.4비트입니다. 사이트가 받아 주는 기호가 정해져 있다면 쓸 기호를 하나씩 골라 맞출 수 있습니다.

직접 외워 쳐야 하는 비밀번호라면 영어 단어 몇 개를 잇는 단어 조합이 낫고, 도어락·휴대폰처럼 숫자만 받는 곳에는 숫자 PIN을 고르면 됩니다. 세 방식 모두 이 브라우저 안의 보안 난수로 만들며, 만든 값을 서버로 보내거나 기록하지 않습니다.

왜 직접 떠올리지 않고 무작위로 만들까요

사람이 떠올린 비밀번호는 이름·생일·좋아하는 단어·자판 배열처럼 짐작할 수 있는 재료에서 나오기 쉽습니다. 미국 NIST의 디지털 인증 지침(SP 800-63B-4)은 사용자가 고른 비밀번호를 사전 단어나 이전 유출 목록과 대조하라고 하는데, 공격자도 그런 목록부터 시도하기 때문입니다. 무작위로 고른 문자열은 이런 목록에 들어갈 재료가 없습니다. 같은 지침은 비밀번호 관리자, 특히 생성기를 갖춘 관리자를 쓰면 더 강한 비밀번호를 고를 가능성이 커진다고 적고 있습니다.

이 도구가 쓸모 있는 때는 대개 다음과 같습니다.

• 새 계정을 만들 때: 계정마다 다른 값을 쓰면 한 곳에서 유출된 비밀번호로 다른 계정이 열리지 않습니다. 관리자에 저장할 것이므로 무작위 문자를 길게 만듭니다.
• 유출 알림을 받았을 때: 그 비밀번호를 쓰던 계정을 모두 새 값으로 바꿔야 합니다. 바꿀 계정이 여럿이면 다시 만들기를 눌러 계정마다 따로 만듭니다.
• 공유기 Wi-Fi·기기 관리자 비밀번호: 기본으로 붙어 나온 값을 바꿀 때 씁니다. 손님에게 불러 줘야 한다면 헷갈리는 문자 빼기를 켜 두면 0과 O를 혼동하지 않습니다.
• 외워야 하는 비밀번호: 비밀번호 관리자의 마스터 비밀번호나 컴퓨터 로그인처럼 매번 직접 치는 값은 단어 조합으로 만들면 길면서도 외우기 쉽습니다.
• 숫자만 받는 곳: 도어락, 휴대폰 잠금, 카드 PIN처럼 숫자만 받는 곳에는 PIN을 씁니다. 111·123처럼 금방 떠오르는 줄은 빼고 뽑을 수 있습니다.

쓰는 법

1. 위쪽에서 방식을 고릅니다. 처음 화면에는 무작위 문자 16자가 이미 만들어져 있습니다.
2. 길이 칸에 숫자를 넣거나 막대를 움직이거나 빠른 값(12·16·20·32·64)을 누릅니다. 값을 바꾸면 비밀번호도 새로 만들어집니다.
3. 넣을 문자 카드 네 개(소문자·대문자·숫자·기호)를 켜고 끕니다. 기호는 아래 칩 32개 가운데 쓸 것만 눌러 남기고, 0과 O처럼 헷갈리는 문자가 싫다면 '헷갈리는 문자 빼기'를 켭니다.
4. 글자판에서 결과를 확인합니다. 네 글자마다 묶어 번호를 붙이고 숫자는 회색, 기호는 주황 바탕으로 칠해 옮겨 적을 때 자리를 놓치지 않게 했습니다. 옆 사람이 볼 수 있는 곳이라면 '가리기'를 누릅니다.
5. 복사를 누른 뒤 가입할 사이트에 붙여 넣고, 같은 값을 비밀번호 관리자에도 저장합니다. 같은 설정으로 다른 값을 원하면 다시 만들기를 누릅니다.

세 방식, 무엇을 고를까

숫자가 큰 쪽이 더 많은 경우의 수를 뜻하지만, 쓰는 곳이 다르면 맞는 방식도 다릅니다. PIN이 19.8비트로 작아도 쓸 수 있는 것은 PIN을 받는 기기가 대개 몇 번 틀리면 잠기기 때문입니다. NIST 지침도 로그인 연속 실패를 계정마다 100회 이하로 막으라고 요구합니다. 반대로 사이트 비밀번호는 서비스가 털려 저장된 값이 밖으로 나가면 잠금 없이 대입당할 수 있으니 길게 만드는 편이 안전합니다.

길이와 문자 종류에 따라 늘어나는 경우의 수

아래 표는 이 도구가 막대에 표시하는 값과 같은 방식으로 셌습니다. 고른 종류마다 한 글자 이상 들어가야 하므로 그 조건을 빼먹은 문자열은 세지 않았습니다.

표를 가로로 읽으면 종류를 더할 때, 세로로 읽으면 길이를 늘릴 때 늘어나는 양이 보입니다. 16자 영문+숫자(95.2비트)에 기호 16개를 더하면 100.4비트로 5.2비트 늘지만, 기호 없이 20자로 늘리면 119.0비트로 23.8비트 늡니다. 사이트가 기호를 받지 않아도 길이를 몇 자 늘리면 충분히 메울 수 있다는 뜻입니다. 막대 옆 '한 글자 늘리면 +비트' 문구가 지금 설정에서 한 글자의 몫을 알려 줍니다.

단어 조합은 몇 개가 적당할까

단어 조합은 미국 전자프런티어재단(EFF)이 주사위로 고르도록 만든 영어 단어 목록 7,776개에서 하이픈이 든 4개(drop-down 등)를 뺀 7,772개를 씁니다. 하이픈을 구분 기호로 썼을 때 서로 다른 단어 묶음이 같은 글자로 보이는 일을 막으려고 뺐습니다. 단어 하나는 약 12.9비트입니다. 단어 길이는 3~9자, 평균 7자라 5개를 하이픈으로 이으면 보통 39자 안팎이 됩니다.

영국 국가사이버보안센터(NCSC)는 일반 계정에 '무작위 단어 3개'를 이어 쓰는 방법을 알립니다. EFF는 대부분의 용도에 단어 6개를 권하니, 마스터 비밀번호처럼 다른 계정을 모두 지키는 값이라면 5~6개로 만드는 편이 낫습니다. '첫 글자 대문자'는 대문자를 요구하는 사이트에 맞추려는 설정이라 경우의 수를 늘리지 않습니다. '숫자 하나 넣기'는 단어 하나의 끝에 숫자 하나를 붙이므로 숫자 10가지와 붙일 자리 수만큼 늘어납니다.

숫자 PIN과 연속 숫자

PIN은 자리마다 0~9 가운데 하나를 고릅니다. '같은 숫자 3개·연속 숫자 3개 피하기'를 켜 두면 111처럼 같은 숫자가 세 번 이어지거나 123·987처럼 1씩 오르내리는 숫자가 세 개 이어지는 PIN을 빼고 뽑습니다. 9 다음 0은 이어진 것으로 보지 않습니다.

빼는 줄이 있어도 경우의 수는 1비트도 줄지 않습니다. 대신 남이 먼저 떠올릴 법한 PIN이 나오지 않고, 이런 줄을 받지 않는 기기에서 다시 만들 일도 줄어듭니다. 개인정보보호위원회 안내서도 연속된 숫자나 널리 알려진 비밀번호를 쓰면 도용될 위험이 있다고 적고 있습니다. 생일·전화번호처럼 나와 연결된 숫자는 이 도구가 알 수 없으니 결과가 우연히 그런 숫자와 같다면 다시 만드세요.

사이트마다 비밀번호 규칙이 다른 이유

한국 사이트가 흔히 내거는 '영문·숫자·특수문자 조합 8자 이상' 같은 문구는 지금 법령이 정한 기준이 아닙니다. 현행 「개인정보의 안전성 확보조치 기준」은 비밀번호의 문자 조합이나 길이를 정하지 않습니다. 비밀번호와 관련해서는 인증 수단을 안전하게 적용·관리하고, 저장할 때는 되돌릴 수 없게 일방향 암호화하라고 요구합니다(제7조①).

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.

개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시 제2026-9호) 제5조⑤ · 2026-07-01 발령 · [현행] · 법제처 확인 2026-10-22

같은 조 ⑥은 일정 횟수 이상 인증에 실패하면 접근을 제한하는 등 필요한 조치를 하라고 정합니다. 고시 제2025-9호로 고친 이 항은 발령한 날(2025년 10월 31일)의 1년 후인 2026년 10월 31일부터 시행됩니다.

개인정보보호위원회의 2024년 10월 안내서는 예전 「개인정보의 기술적·관리적 보호조치 기준」에 있던 비밀번호 구성·변경 기준을 지금은 따로 규정하지 않는다고 밝히고, 사업자가 시스템 특성에 맞게 정하라고 안내합니다. 그래서 어떤 곳은 기호를 꼭 넣으라 하고, 어떤 곳은 특정 기호를 거부하며, 최대 길이를 12자나 20자로 묶어 두는 곳도 있습니다. NIST 지침은 반대로 조합 규칙을 강요하지 못하게 하고, 최대 길이는 64자 이상으로 두며 인쇄 가능한 아스키 문자와 빈칸을 모두 받으라고 권합니다.

규칙이 사이트마다 다르니 생성기 쪽에서 맞추는 수밖에 없습니다. 가입 화면의 안내 문구에서 허용 기호와 최대 길이를 먼저 확인한 다음 쓸 기호 칩과 길이를 그에 맞추세요. 사이트가 결과를 거부하면 어떤 글자가 문제인지 안내를 읽고 그 기호만 끈 뒤 다시 만드는 편이 빠릅니다.

무작위는 어떻게 고르나요

난수는 브라우저의 Web Crypto API가 주는 crypto.getRandomValues()에서 얻습니다. W3C 명세는 이 함수가 암호학적으로 안전한 난수로 바이트를 채우도록 정합니다. 시각이나 Math.random()은 비밀번호에 쓰지 않으며, 글자판이 굴러가는 효과에만 씁니다.

• 치우침 없이 한 글자 고르기: 32비트 난수를 후보 수로 나눈 나머지를 그대로 쓰면 앞쪽 글자가 아주 조금 더 자주 나옵니다. 그래서 후보 수의 배수가 끝나는 지점 위쪽 값은 버리고 다시 뽑습니다.
• 고른 종류가 모두 들어가게: 숫자를 켰는데 숫자가 하나도 없는 결과가 나오면 통째로 버리고 처음부터 다시 뽑습니다. 빠진 자리에 숫자를 끼워 넣는 방식보다 조건을 만족하는 모든 문자열이 같은 확률로 나옵니다. 기본 16자 설정에서는 한 번에 통과하는 비율이 약 86%라 다시 뽑는 일이 드뭅니다.
• 경우의 수는 어림하지 않고 셉니다: 무작위 문자는 포함–배제 원리로, 단어 조합은 7,772를 단어 수만큼 곱해서, 연속 숫자를 피하는 PIN은 앞 두 자리를 기억하며 하나씩 세어 정확한 수를 구한 뒤 비트로 바꿉니다.

만든 다음 보관과 입력

무작위 비밀번호는 외우라고 만든 값이 아닙니다. 복사해서 사이트에 붙여 넣고 같은 값을 비밀번호 관리자에 저장한 뒤, 로그아웃했다가 새 비밀번호로 다시 로그인해 보면 저장이 제대로 됐는지 확인할 수 있습니다. NIST 지침은 서비스가 비밀번호 관리자와 자동 채우기를 허용하도록 요구하고, 붙여 넣기도 허용하라고 권합니다.

• 복사한 값은 운영체제의 클립보드 기록이나 다른 기기와의 클립보드 동기화에 남을 수 있습니다. 붙여 넣은 뒤 다른 글을 한 번 복사해 덮어 두면 좋습니다.
• TV나 게임기처럼 붙여 넣기가 안 되는 기기에는 글자판의 묶음 번호를 보며 네 글자씩 옮겨 칩니다. 이때는 헷갈리는 문자 빼기를 켜고 만드세요.
• 회의 화면을 공유하는 중이라면 만들기 전에 '가리기'를 눌러 두세요. 가려 둔 상태에서도 복사는 됩니다.

자주 틀리는 경우

• 설정을 바꾼 뒤 이전 값을 붙여 넣음: 길이·종류·기호를 바꾸면 비밀번호가 새로 만들어집니다. 설정을 다 정한 다음 마지막으로 복사하세요.
• 사이트 최대 길이를 넘김: 입력칸에 글자 수 제한이 걸려 있으면 붙여 넣을 때 뒷부분이 말없이 잘려, 관리자에 저장한 값과 실제 비밀번호가 달라질 수 있습니다. 최대 길이가 적혀 있으면 그 안으로 만드세요.
• 기호를 끄고 경우의 수를 걱정함: 기호를 빼도 길이를 4자 늘리면 더 많이 늡니다. 위 표의 16자와 20자를 비교해 보세요.
• 단어 조합을 사람이 고쳐 씀: 마음에 드는 단어로 바꾸면 무작위가 아니게 됩니다. 마음에 들지 않으면 다시 만들기를 누르세요.
• 같은 비밀번호를 여러 곳에 씀: 생성기로 만든 값이라도 한 곳에서 새면 같은 값을 쓴 계정이 모두 위험합니다. 계정마다 따로 만드세요.

한계와 주의

• 막대의 비트는 이 설정으로 나올 수 있는 경우의 수일 뿐, 해독에 걸리는 시간이나 안전 등급이 아닙니다. 실제 위험은 서비스가 비밀번호를 어떻게 저장하는지, 로그인 시도를 막는지, 같은 값을 다른 곳에 썼는지에 따라 달라집니다.
• 이미 쓰고 있는 비밀번호가 유출됐는지 조회하거나 강도를 검사하는 기능은 없습니다. 쓰던 비밀번호를 다른 사이트의 입력칸에 넣어 확인하지 마세요.
• 단어 조합은 영어 단어만 씁니다. 이 도구가 쓸 수 있는 검증된 한글 단어 목록이 없고, 비밀번호 칸이 한글을 받지 않는 사이트도 많기 때문입니다.
• 무작위 비밀번호도 피싱 사이트에 직접 입력하면 그대로 넘어갑니다. 서비스가 패스키나 추가 인증을 제공하면 함께 켜 두세요.
• 기기에 악성 프로그램이나 화면을 엿보는 확장 프로그램이 있다면 이 도구가 막을 수 없습니다.

출처

기준일 NIST SP 800-63B-4, W3C Web Cryptography, 개인정보의 안전성 확보조치 기준(법제처)과 안내서, EFF·NCSC 자료는 2026년 10월 22일에 원문으로 확인했습니다. 표의 비트 수는 이 도구의 계산 코드로 셌고, 작은 경우는 모든 조합을 하나씩 세어 같은지 대조했습니다.

• 01NIST SP 800-63B-4: Authentication and Authenticator Management2025년 8월. 3.1.1 비밀번호 최소 15자·8자, 64자 허용, 조합 규칙 금지, 관리자·붙여 넣기 허용, 3.2.2 연속 실패 100회 제한
• 02W3C Web Cryptography Level 2: getRandomValues암호학적으로 안전한 난수, 한 번에 65,536바이트까지
• 03국가법령정보센터: 개인정보의 안전성 확보조치 기준개인정보보호위원회 고시 제2026-9호, 제5조 접근 권한의 관리
• 04개인정보보호위원회: 개인정보의 안전성 확보조치 기준 안내서(2024.10.)부록 자주 묻는 질문 5, 비밀번호 구성·변경 기준
• 05EFF: Dice-Generated Passphraseslarge wordlist 7,776개, 대부분의 용도에 6단어 권장
• 06NCSC: Three random words영국 국가사이버보안센터의 무작위 단어 3개 권고

자주 묻는 질문

함께 쓰는 도구