spring security의 PasswordEncoder인터페이스. 사용해도 되는거 맞을까요??

Question

spring security의 PasswordEncoder인터페이스는 blowfish알고리즘을 기반으로 설계한 BCrypt 해시 함수 암호화 알고리즘 이라고 구글 검색으로는 도저히 못 찾아서 올린 질문글에 답변을 어떤 분이 달아주셨었는데요.(1년 전에...) 문득 1년이 지난 지금에 와서 드는 생각이 '이거 써도 되는거 맞나???' 입니다. 인터넷진흥원에서 발간하는 안내서를 보면 추천하는 암호화 알고리즘이 몇 가지가 있는데그중에 BCrypt, Crypt는 없어서 말입니다. 아시는 분 혹시 계실까요??

냉동참치 · Accepted Answer

현재 작업하시는게 국가사업이면 쓰면안됩니다. kisa에서 지정한 알고리즘 이외에는 보안검열에서 지적사항으로 나옵니다.

Mambo · Answer

특정 알고리즘 수준의 보안을 권고할텐데 bcrypt는 대부분의 리눅스 배포판에서 기본적으로 적용되는 해시함수이기에 보안적으로 낮은 수준은 아니라고 생각합니다. 뭐 부처에서 권고하지 않았다며 굳이 지적한다면 그냥 바꾸면 될 뿐이죠...

spring security의 PasswordEncoder인터페이스. 사용해도 되는거 맞을까요??

2개의 답변

#passwordencoder 목록