로그인시 비밀번호 비교 문의드립니다.

Question

[문의 내용]회원가입시 비밀번호를 sha256 암호화 방식으로 암호화 하여 디비에 넣었습니다문제는 로그인지 비밀번호를 어떻게 비교해야할지 몰라 문의드립니다,로그인 로직을 어떻게 변경해야하는지 조언부탁드립니다! 비밀 번호 암호화 로직입니다.package com.park.ch.cmm.encrypt; import java.security.MessageDigest; import java.security.NoSuchAlgorithmException; import java.util.Random; public class AES256Util { /** * SHA-256 암호화 함 * @param source 원본 * @param salt(String) SALT 값 * @return */ public static String getEncrypt(String source, String salt) { return getEncrypt(source, salt.getBytes()); } /** * SHA-256 암호화 함 * @param source 원본 * @param salt(byte[]) SALT 값 * @return */ public static String getEncrypt(String source, byte[] salt) { String result = ""; byte[] a = source.getBytes(); byte[] bytes = new byte[a.length + salt.length]; System.arraycopy(a, 0, bytes, 0, a.length); System.arraycopy(salt, 0, bytes, a.length, salt.length); try { // 암호화 방식 지정 메소드 MessageDigest md = MessageDigest.getInstance("SHA-256"); md.update(bytes); byte[] byteData = md.digest(); StringBuffer sb = new StringBuffer(); for (int i = 0; i < byteData.length; i++) { sb.append(Integer.toString((byteData[i] & 0xFF) + 256, 16).substring(1)); } result = sb.toString(); } catch (NoSuchAlgorithmException e) { e.printStackTrace(); } return result; } /** * SALT를 얻어온다. * @return */ public static String generateSalt() { Random random = new Random(); byte[] salt = new byte[8]; random.nextBytes(salt); StringBuffer sb = new StringBuffer(); for (int i = 0; i < salt.length; i++) { // byte 값을 Hex 값으로 바꾸기. sb.append(String.format("%02x",salt[i])); } return sb.toString(); } } 회원가입 로직입니다 /** * 회원가입 * @param req * @param param * @return * @throws Exception */ @SuppressWarnings("unchecked") @RequestMapping(value = "/user/insertUser.do") public ModelAndView insertUser(@ModelAttribute("loginVO") LoginVO loginVO, HttpServletRequest req, @RequestParam Map param) throws Exception { System.out.println("req : " +req); ModelAndView mv = new ModelAndView(); SessionVO sessionVO = new SessionVO(); LoginVO resultVO = new LoginVO(); // 회원 넘버 생성 String randomUno = ""; int d = 0; for (int i = 1; i <= 20; i++){ Random r = new Random(); d = r.nextInt(9); randomUno = randomUno + Integer.toString(d); } String uNo = randomUno; param.put("u_no", uNo); // 비밀번호 암호화 String salt = AES256Util.generateSalt(); String uPw = req.getParameter("u_pw"); uPw = AES256Util.getEncrypt(uPw, salt); param.put("u_pw", uPw); // ip String clientIp = req.getRemoteAddr(); param.put("u_ip", clientIp); try { UserService.insertUser(param); mv.setViewName("redirect:/user/finalJoinPage.do"); } catch (Exception e) { e.printStackTrace(); } loginVO.setUserId(req.getParameter("u_id")); loginVO.setUserPw(uPw); resultVO = UserService.userInfo(loginVO); BeanUtils.copyProperties(resultVO, sessionVO); //session에 유저정보 저장 req.getSession().setAttribute("userInfo", sessionVO); return mv; } 로그인 체크 로직입니다 /** * 로그인 * @param loginVO * @param model * @param req * @param res * @return * @throws Exception */ @ResponseBody @RequestMapping(value = "/user/login.do") public HashMap login(@ModelAttribute("loginVO") LoginVO loginVO, @RequestParam Map param) throws Exception { HashMap map = new HashMap(); LoginVO resultVO = new LoginVO(); String user_pw = loginVO.getUserPw(); // 비밀번호 암호화 String salt = AES256Util.generateSalt(); user_pw = AES256Util.getEncrypt(user_pw, salt); // UserSha256은 클래스 명이다. loginVO.setUserPw(""); try { resultVO = UserService.userInfo(loginVO); } catch (Exception e) { e.printStackTrace(); } //로그인 성공 체크 if (resultVO != null && resultVO.getUserPw().equals(user_pw)) { map.put("message", "로그인 되었습니다."); map.put("messageCd", "Y"); }else{ map.put("message", "패스워드가 올바르지 않습니다."); map.put("messageCd", "N"); } return map; }

siva6 · Accepted Answer

패스워드는 복호화가 안되는 단방향 해싱을 하는게 원칙입니다.1. 사용자가 ID, INPUT_PW을 입력한다.2. 사용자 ID로 SALT와 DB_PW를 가져온다.3. INPUT_PW * SALT 와 DB_PW가 동일한지 확인한다.이렇게 진행해야 겠죠.

siva6 · Answer

혹시 salt는 저장하지 않는건가요?

이설란 · Answer

AES256Util 유틸에 암호화는 있는데 복호화 메서드가 없네요.복호화 메서드를 만드셔서 로그인체크때 user_pw 변수에 넣어주면 될 것 같습니다.

Lowe · Answer

답장 주셔서 갑사합니다! Salt 컬럼 추가해서 암호화된 비밀번호와는 별개로 저장해야할까요?

siva6 · Answer

예. 공통 salt가 아니라면... 사용자별로 별도로 보관해서 사용하셔야 합니다.

Lowe · Answer

선생님, 복호화 메서드를 만들어야 하는지 아니면 솔트값을 따로 저장한다면 그 솔트값은 어떻게 비교를 할 수 있는건가요?

Lowe · Answer

siva6님... 정말 감사합니다 ㅠㅠㅠ 단번에 해결되었습니다. 저 죄송하지만 한가지 더 여쭤보고 싶은데요.로그인이 되면 메인 화면에 &#34;***님 로그인되었습니다.&#34; 를 띄어주고 싶은데요.위의 로그인 체크로직에서 로그인 성공시 sessionvo에 아이디, 이름, 비밀번호(비밀번호도 문제없는지요?)를 담았다가메인 페이지를 /index.do로 호줄한다고 했을 때 index 메서드 안 sessionvo에 정보가 있으면 처리하면되는지이런식으로 순서를 가지면 되는지요!

siva6 · Answer

예. session에 그 정도를 저장하는 것은 상관 없을 것 같습니다. 가능한 암호화된 패스워드라도 저장해두지 않는게 좋습니다.

로그인시 비밀번호 비교 문의드립니다.

8개의 답변

Q&A 목록