🧂 bcrypt cost 가이드 | 몇으로 잡아야 할까?

측정에 쓴 cost (work factor, 4~31)

cost

그때 측정한 해시 1회 시간

목표 해시 1회 시간 (이 값과 같으면 충족)

피크 초당 로그인 시도 수 (선택)

/초

비밀번호 72바이트 제한 확인 (선택, 실제 비밀번호 금지)

cost	예상 시간	처리량	목표 대비

표의 시간은 cost 1 증가마다 2배가 된다는 bcrypt 의 성질로 입력한 측정값을 환산한 값입니다. 하드웨어별 벤치마크 수치를 내장하고 있지 않으므로 반드시 본인 서버에서 측정한 값을 넣으세요. 근거: OWASP Password Storage Cheat Sheet (2026년 10월 확인).

bcrypt cost 설정 가이드 사용법

지금 쓰는 cost 와 그때 측정한 해시 1회 시간을 넣고 목표 지연을 적으면, cost 를 바꿀 때의 예상 시간과 목표를 지키는 최대 cost 를 보여줍니다. bcrypt 는 cost 가 1 오를 때마다 반복 횟수가 2배가 되므로 한 지점만 측정해도 나머지를 환산할 수 있습니다. 피크 초당 로그인 수를 넣으면 필요한 CPU 코어 수도 나옵니다.

계산 방식과 근거

예상 시간은 측정값 × 2^(목표 cost − 측정 cost) 이며 하드웨어별 벤치마크 표는 쓰지 않습니다. 권고 기준은 OWASP Password Storage Cheat Sheet (2026년 10월 확인) 로, 신규 시스템에는 Argon2id, bcrypt 는 레거시용이며 work factor 10 이상, 해시 1회는 1초 미만을 제시하고 이상적인 값에 황금률은 없다고 밝힙니다.

한계와 주의사항

이 도구는 해시를 실제로 돌리지 않으므로 측정값이 부정확하면 결과도 어긋납니다. 운영과 같은 CPU 에서 측정하세요. cost 를 과하게 올리면 로그인 폭주 시 자가 DoS 가 되니 피크 부하 기준으로 판단해야 합니다. 비밀번호 칸은 72바이트 제한 확인용이므로 실제 비밀번호를 넣지 마세요.

자주 묻는 질문

cost 는 몇으로 잡아야 할까?

OWASP 는 이상적인 work factor 에 황금률이 없다고 못 박습니다. 서버 성능과 로그인 부하에 달려 있어서, 본인 서버에서 측정한 시간을 넣고 목표 지연 안에 들어오는 최대값을 쓰는 것이 현실적입니다.

cost 를 높게 잡으면 더 안전할까?

해시 1회 비용이 올라가는 만큼 로그인 폭주 시 CPU 가 먼저 고갈됩니다. 공격자가 로그인 요청만 쏟아도 서비스가 멈추는 자가 DoS 가 될 수 있어, 1회 1초 미만이 일반적인 지침입니다.

bcrypt 를 새 서비스에 써도 될까?

OWASP 는 신규 시스템에 Argon2id 를 권장하고 bcrypt 는 레거시용으로 두며 work factor 10 이상을 제시합니다. 이미 bcrypt 를 쓰는 곳의 cost 조정에 이 도구를 쓰세요.

🧂bcrypt 해시 cost 설정 가이드

관련된 도구

해시값(MD5·SHA) 생성기

HMAC 서명 생성기

bcrypt cost 설정 가이드 사용법

계산 방식과 근거

한계와 주의사항

자주 묻는 질문

관련된 도구

해시값(MD5·SHA) 생성기

HMAC 서명 생성기

bcrypt cost 설정 가이드 사용법

계산 방식과 근거

한계와 주의사항

자주 묻는 질문

같은 카테고리 도구