일방향 암호된 데이터에서 특정 문자열을 포함하고 있는지 알 수 있나요?

Question

안녕하세요. 저희 프로젝트에서회원 비밀번호를 변경할때, 과거 비밀번호와 같은 글자가 3개 이상 있으면 비밀번호 변경이 불가한 로직을 추가해달라는 요청이 왔습니다.문제는, 비밀번호가 SHA-256 방식으로 암호화가 되어있다는 점입니다.이럴 경우 앞서 설명드린 로직을 추가하는게 가능할까요?어떤식으로 구현해야 하는지 모르겠네요 ㅠㅠ 아시는 분 답변 부탁드리고 더위 조심하시기 바랍니다.

Clickin · Answer

세자리 이상 이런건 불가능합니다.SHA256으로 암호화된 단방향 해시의 이력을 전부 저장하면 이전 비밀번호와 같았는지는 비교할 수 있고 이건 보안상 좋은 방안입니다.비밀번호 변경 과정에서 과거 비밀번호와 같은 글자가 3개 이상이면 에러를 띄운다는 건 즉 공격자가 현재 비밀번호 중 3글자는 알 수 있다는겁니다. 이거 몇번 조합하면 다 알 수도 있겠죠그런 가이드라인 주는 사람이 잘못됐다고 봅니다.

autoboard.site · Answer

그게 가능하다면, 오히려 문제 아닐까요

캐티 · Answer

해시 데이터에 대한 원시 값을 저장하면 구현이 가능하지 않겠나요. 이러면 취약한 것이 아니냐 .. 서버 관리자만 입이 무거우면 되므로 이케이케 구현은 가능할 것이어요. 이렇지만 데이터가 쌓인 다음부터 이전 비밀번호와 비교가 가능하겠쩌.

일방향 암호된 데이터에서 특정 문자열을 포함하고 있는지 알 수 있나요?

3개의 답변

Q&A 목록