🧴 솔트·해시 반복 가이드 | 어느 알고리즘을 쓸까?

쓰려는 비밀번호 해시 알고리즘

측정에 쓴 PBKDF2 반복 횟수

회

그때 측정한 해시 1회 시간

목표 해시 1회 시간 (이 값과 같으면 충족)

사용자별 솔트 길이 (1~64)

저장할 사용자 수

명

알고리즘	OWASP 가 두는 자리	명시한 파라미터

솔트는 비밀이 아니라 해시와 함께 저장하는 값이고, 사용자마다 다른 난수여야 합니다. 같은 솔트를 전역으로 돌려쓰면 솔트를 쓰는 의미가 없어집니다. bcrypt 의 cost 값 자체는 이 도구가 다루지 않습니다. 근거: OWASP Password Storage Cheat Sheet (2026년 10월 확인) - 이상적인 work factor 에 황금률은 없다고 밝히고 있습니다.

솔트·해시 반복 라운드 가이드 사용법

쓰려는 알고리즘을 고르고, 측정에 쓴 PBKDF2 반복 횟수와 그때 걸린 1회 시간, 목표 시간을 넣으면 목표 안에 들어오는 최대 반복 횟수를 역산합니다. 솔트 길이와 저장할 사용자 수를 넣으면 솔트 조합 수와 중복 확률도 나옵니다. bcrypt 의 cost 값 자체는 다루지 않습니다.

계산 방식과 근거

PBKDF2 는 반복 횟수에 시간이 거의 비례하므로 최대 반복 = 측정 반복 × (목표 시간 ÷ 측정 시간) 으로 내림 계산합니다. 솔트 중복은 조합 수 2^(8 × 바이트) 에서 생일 문제로 근사합니다. 알고리즘별 기준은 OWASP Password Storage Cheat Sheet (2026년 10월 확인) 를 따랐습니다.

한계와 주의사항

OWASP 는 이상적인 work factor 에 황금률이 없다고 못 박습니다. 이 도구는 해시를 직접 돌리지 않으므로 운영과 같은 CPU 에서 측정한 값을 넣어야 합니다. 값을 과하게 올리면 로그인이 몰릴 때 CPU 가 먼저 고갈돼 스스로 멈춥니다. 어떤 설정도 그 자체로 안전을 보장하지 않습니다.

자주 묻는 질문

솔트는 비밀로 숨겨야 할까?

솔트는 비밀이 아니라 해시와 나란히 저장하는 값입니다. 같은 비밀번호가 같은 해시로 남지 않게 해서 미리 만들어 둔 표로 한꺼번에 깨는 공격을 막는 것이 목적입니다. 대신 사용자마다 다른 난수여야 하고, 전역으로 하나를 돌려쓰면 효과가 사라집니다.

반복 횟수는 몇으로 둘까?

OWASP 는 이상적인 값에 황금률이 없다고 밝힙니다. PBKDF2 라면 FIPS-140 이 필요할 때 600,000회 이상을 제시하고, 해시 1회가 1초를 넘지 않게 두는 것이 일반적인 지침입니다. 운영과 같은 CPU 에서 재어 본 값을 넣어 역산하세요.

어느 알고리즘을 골라야 할까?

OWASP 는 신규 시스템에 Argon2id 를 먼저 두고, 쓸 수 없으면 scrypt, FIPS-140 이 필요하면 PBKDF2, bcrypt 는 레거시용으로 둡니다. 이 도구는 그 기준을 나란히 보여 주기만 하고 대신 골라 주지는 않습니다.

🧴솔트·해시 반복 라운드 권장 가이드

관련된 도구

bcrypt 해시 cost 설정 가이드

세션 만료 시간 설정 가이드

솔트·해시 반복 라운드 가이드 사용법

계산 방식과 근거

한계와 주의사항

자주 묻는 질문

관련된 도구

bcrypt 해시 cost 설정 가이드

세션 만료 시간 설정 가이드

솔트·해시 반복 라운드 가이드 사용법

계산 방식과 근거

한계와 주의사항

자주 묻는 질문

같은 카테고리 도구