crypto로 암호화하는데 안되는 이유를 모르겠습니다.

Question

아래와 같은 기능을 구현하려고 합니다. 1. 회원가입 시 클라이언트가 서버로 아이디, 패스워드 평문을 전송합니다.2. 서버에서 아이디와, cryptoJS를 통해 암호화한 패스워드, salt를 DB에 저장합니다.3. 로그인 시 전송된 패스워드를 DB에 저장되있던 salt를 가져와 새로 암호화한 후, DB에 저장된 암호화 되있던 패스워드와 비교하여 불린값을 반환합니다. 2번까지는 문제없는데, 3번에서 문제가 생기네요.같은 salt값으로 같은 평문을 암호화하는데, 할때마다 결과값이 다릅니다.결과값이 같아야 둘을 비교하고 다음으로 이어갈텐데 값이 다르니로그인에 실패합니다..어떤점이 문제인걸까요? 아래 코드 첨부드립니다 ㅠㅠ 회원가입 api// 회원가입 정보 db에 저장 app.post(&#34;/join&#34;,(req,res)&#61;>{ const id &#61; req.body.id; const name &#61; req.body.name; const pwd &#61; req.body.pwd; const salt &#61; crypto.lib.WordArray.random(128 / 8).toString(crypto.enc.Hex); const hashPassword &#61; crypto.AES.encrypt(pwd,salt).toString(); const sqlQuery &#61; &#34;INSERT INTO login (name,ID,PASSWORD,salt) VALUES (?,?,?,?)&#34;; db.query(sqlQuery, [name,id,hashPassword,salt]) }) 로그인 apiapp.post(&#34;/login&#34;,(req,res) &#61;> { const {id,pwd} &#61; req.body; const loginCheck &#61; &#34;SELECT * FROM login WHERE ID &#61; ?&#34; // db에서 id랑 일치하는 값이 있는지 찾는다. db.query(loginCheck,[id,pwd],function(err,rows,fields){ // console.log(rows); const userSalt &#61; rows[0].salt; const userPassWord &#61; rows[0].PASSWORD; const hashPassword &#61; crypto.AES.encrypt(pwd,userSalt,32).toString(); // 비교할 암호화값 생성 console.log(&#96;DB의 유저 패스워드 ${userPassWord}&#96;) console.log(&#96;DB의 salt값으로 암호화한 패스워드 ${hashPassword}&#96;)

allinux · Answer

비밀번호를 왜 AES 로 암호화하는지는 모르겠지만 문제의 원인은 블럭모드 때문일겁니다.ecb, cbc 같은 모드가 존재하고 cbc 같은 경우 iv 값때문에 매번 바뀝니다.그리고 비교를 하려면 복호화한 값을 비교해야 하는 겁니다. salt 값이라고 적은 것 봐선 해시처리하여 저장하려는 것 같습니다만...

siyex42080 · Answer

allinux님의 설명 대로이며 보안상 중요한 기능입니다. 해당 기능이 없는 ECB의 취약점을 검색해 보시면 많은 정보를 찾아보실 수 있을겁니다.그보다 지금 AES를 해시 알고리즘으로 오해 하신 것으로 보이네요. AES가 아니라 SHA-256 같은 해시 알고리즘을 사용 하시면 해결 되는 문제이기는 하지만 비밀번호에는 bcrypt 나 PBKDF2-HMAC-SHA256 같은 전용 알고리즘을 사용 하셔야 합니다.

crypto로 암호화하는데 안되는 이유를 모르겠습니다.

2개의 답변

Q&A 목록