비밀번호를 해싱이나 암호화없이 저장해야하는 요구사항이라면 어떻게 해야하나요?

Question

안녕하세요 오키 선배님들, 현재 모 회사의 전산을 만들어주는 프로젝트를 진행하고 있습니다.크지 않은 프로젝트라 1인 개발을 진행중인데, 조금 당황스러운 요구사항이 하나 있습니다.클라이언트 회사 내부적으로만 이용되는 프로그램인데, 여기에는 회원가입이 별도로 없습니다. MASTER 계정이 홀로 다른 계정들을 가입시키고, 수정하고, 삭제합니다. 따라서 MASTER 계정이 관리자 페이지에 진입시 모든 계정의 정보 및 비밀번호를 확인할 수 있는 방식입니다. 비밀번호를 있는 그대로 DB에 저장하고 불러오는 방식을 기대하는 것 같습니다.왠만하면 요구사항의 수정없이진행하고 싶은데 그래도 웹에 띄우는 프로젝트인데 이렇게 진행해도 되는건가 고민스럽습니다..조언 부탁드립니다.

DevHold · Accepted Answer

MASTER 계정이 관리자 페이지에 진입시 모든 계정의 정보 및 비밀번호를 확인할 수 있는 방식입니다. 비밀번호를 있는 그대로 DB에 저장하고 불러오는 방식을 기대하는 것 같습니다.-> 비밀번호를 DB에 저장할 때 암호화 하고 관리자 페이지에서 보여줄 때 다시 복호화 하면 되는거 아닌가요?기대라는게 현업에서 암호화 안하고 저장해달라고 요청이 온건지 아니면 질문자분께서 DB에 암호화 하지 않고 저장해야하나 생각한건지 궁금하네요.

shintwl · Answer

"진짜 후회 없으세요?" 한번 물어보고 ㄱㄱ

냉동참치 · Answer

암호화 하는게 좋겠으나 정 안된다면 비밀번호 변경창에 알림메시지를 적어놓는 방법은 안될까요?비밀번호는 암호화 되지 않으니 절대 개인용 비밀번호를 쓰지말라던가 하는 식의 내용입니다.

twinings · Answer

나중에 말바꿀지 모르니 증거자료만 가지고 계세요이메일 또는 녹음

Giolitti · Answer

마스터가 일반 계정들 비밀번호 리셋하고 변경만 할 수 있으면 될 거 같은데요. 위 기능 요구사항에 비밀번호를 알 필요가 없지 않나요?

Hide_D · Answer

아.. 이런 시스템 없었으면 좋겠는데요 ㅜㅜ비밀번호가 평문으로 DB에 박혀있음안됩니다. 절대 안돼요.비밀번호가 서버 키로 비밀키 암호화되어있음비추천. 유저마다 IV를 다르게 만들어 테이블에 보관하고, CBC 암호화를 통해 대조. 이 경우에 비밀키가 하드코딩되어 어딘가에 저장되어 있을텐데, 유쾌한 상황은 아닙니다.비밀번호가 서버 공개키로 암호화되어있음그나마 괜찮음. 유저마다 salt를 다르게 만들어 테이블에 보관하고, 서버의 공개키를 이용해 RSA 2048(또는 그 이상)로 암호화하는 방식입니다. (단점: 2048비트 &#61;> 256바이트짜리 필드. salt용 128비트 공간 필드가 추가로 필요)서버의 공개키는 하드코딩되어있어도 괜찮고, 심지어 겉으로 드러나도 괜찮긴하지만, 이왕이면 안보이는게 좋겠죠?서버의 개인키는 서버 관리자가 '가급적이면 서버에서 물리적으로 떨어진' 곳에 잘. 숨겨두시거나, PBKDF2로 유도되는 키로 암호화해서 저장해두세요. (무슨말인지 모르겠으면, 개인키 파일을 암호화를 건 7z파일로 압축하세요.)평소 로그인할 땐 입력받은 비밀번호를 RSA 암호화를 해서 일치하는가 대조하시고, 비밀번호를 찾아달라고 요청할 때, 꽁꽁 숨겨둔 서버 개인키를 이용해서 RSA 복호화를 한 뒤 알려주시면 됩니다.비밀키가 해시 처리되어있음권장. 당연하지만 pkbdf2나 bcrypt와 같이 salt와 iteration이 같이 포함되어있어야합니다.비밀번호를 모르겠다고 하면, 아무 비밀번호로 초기화해주시고, 그 비밀번호를 알려주시면 됩니다.

MSSQL 튜너 · Answer

내부 시스템인 경우 그런경우 많습니다.나중에 보안 점검 나오거나 시스템 업그레이드 경우 체계가 잡히겠죠~원하는데로 해주세요~

younghoo · Answer

저 같으면 내일이 많아 지지 않는 선에서는 웬만하면 갑이 요구하는데로 들어줌.

사과맛오렌지 · Answer

현업자는 아니라 조심스럽지만, MASTER의 비밀번호로 다른 모든 사용자 암호를 암호화하는 것은 어떨까 싶은 생각도 듭니다.

olivahn · Answer

개인정보보호법 관련해서 모든 책임을 클라이언트가 지겠다고 문서나 메일이나 계약서등을 남겨달라하고 그러겠다 하면 해주세요.

캐티 · Answer

멀 이렇게 어렵게 생각하나요.어차피 대부분에 비밀번호는 해시크기 char(80) 이내에 들어갈 것이고요.해시를 저장하거나 평문을 저장하고 or 처리하여 해시값 또는 평문이 일치하는지 조회하면 될 것이어요.이렇게 하면 나중에 해시로 바꾸겠다 하더라도 대응이 잘 되겠어요.

비밀번호를 해싱이나 암호화없이 저장해야하는 요구사항이라면 어떻게 해야하나요?

11개의 답변

Q&A 목록