무작위 Base64 생성기

바이트, 문자, 엔트로피

무작위 문자열의 강도는 엔트로피 비트 수로 측정합니다. 무작위 바이트 하나마다 8비트가 더해지므로 16바이트는 128비트, 32바이트는 256비트입니다. Base64는 이 바이트를 표기하는 방식만 바꿀 뿐입니다. 문자 하나가 6비트를 담고, 3바이트가 4문자가 됩니다. 이 도구는 문자열마다 엔트로피를 표시하므로 한눈에 확인할 수 있습니다.

바이트 단위를 선택하면 출력을 디코딩했을 때 정확히 지정한 개수의 무작위 바이트가 나오며, 키와 비밀 값에는 바로 이것이 필요합니다. 문자 단위를 선택하면 정확한 개수의 문자를 얻고, 각 문자는 64자 알파벳에서 균등한 확률로 선택됩니다. 시스템이 고정 길이의 토큰을 요구하고 이를 텍스트로 저장할 때 사용하십시오.

무작위 Base64 값이 쓰이는 곳

• JWT 비밀 키. RFC 7518은 HMAC 키가 해시 출력 이상의 길이여야 한다고 규정합니다. HS256은 32바이트, HS384는 48바이트, HS512는 64바이트입니다. 비밀 키 문자열을 그대로 쓰는 라이브러리도 있고 먼저 Base64로 디코딩하는 라이브러리도 있으므로, 사용하는 라이브러리가 어느 쪽을 기대하는지 확인하십시오. JWT 디코더는 두 종류의 비밀 키 모두로 HS256~HS512 서명을 검증하며, HMAC 생성기는 키를 텍스트, 16진수, Base64로 입력받습니다.
• 애플리케이션 키. 예를 들어 Laravel은 32바이트 암호화 키를 .env 파일에 APP_KEY=base64:... 형태로 보관합니다. 이 도구로 만든 32바이트 문자열과 같은 형식입니다.
• Kubernetes Secret. data 아래의 값은 패딩이 있는 표준 Base64여야 합니다. 바이트 단위와 표준 변형으로 패딩을 켠 채 생성한 문자열은 그대로 넣을 수 있으며, Pod는 원시 무작위 바이트를 받게 됩니다. 애플리케이션이 Base64 텍스트 자체를 기대한다면 대신 stringData 아래에 넣으십시오.
• URL에 들어가는 토큰. 비밀번호 재설정 링크, 초대 코드처럼 URL로 전달되는 토큰에는 URL 안전 변형을 사용해야 합니다. 이 변형은 +, / 문자를 -, _ 문자로 바꿉니다. 자세한 내용은 Base64URL 페이지를 참고하십시오.

Math.random 대신 crypto.getRandomValues를 쓰는 이유

Math.random()은 빠른 범용 난수 생성기입니다. 출력이 예측 불가능하도록 설계되지 않았으며, 일부 엔진에서는 값 몇 개만으로 내부 상태를 복원할 수 있습니다. 이 도구는 운영 체제가 시드를 제공하는 암호학적으로 안전한 생성기인 crypto.getRandomValues()를 사용합니다. openssl rand와 Python secrets 모듈의 바탕이 되는 것과 같은 종류의 난수원입니다. 값은 사용자의 기기에서 생성되며 전송되거나 저장되지 않습니다.

코드에서 무작위 Base64 생성하기

# 셸: 무작위 32바이트를 Base64로(44자)
openssl rand -base64 32
head -c 32 /dev/urandom | base64

# Python
import base64, secrets
base64.b64encode(secrets.token_bytes(32)).decode()
secrets.token_urlsafe(32)        # URL 안전, 패딩 없음, 43자

// Node.js
const crypto = require('crypto');
crypto.randomBytes(32).toString('base64');
crypto.randomBytes(32).toString('base64url');   // URL 안전, 패딩 없음

// 브라우저
const bytes = crypto.getRandomValues(new Uint8Array(32));
btoa(String.fromCharCode(...bytes));