자바 초보 암호화된 데이터 검색(AES-256) 막혔습니다..

Question

제가 만들고있는 사이트는 자바8 기반이구요.. 톰캣8.5 , 오라클12c 쓰고있습니다 예약신청을 받는데요, 별도 회원가입없이 사용자한테 이름, 이메일, 전화번호를 입력받고, 그 3개의 조합으로 사용자를 식별합니다. 어떤식이냐하면 , 예약시에 이름, 이메일, 전화번호가 일치하는 데이터가있으면그 사람이 동일하다고 판단하고,총 예약횟수 같은것을 관리자페이지에서 볼수가있습니다. 그런데 이름, 이메일, 전화번호는 평문저장이 안되고양방향 암호화를 무조건적으로 해야한다고해서 찾아보고 적용해보고있는데요, 문제는 AES-256 암호화를 해서 데이터를 저장하면, 암호화를 실행할때마다 데이터가 바뀝니다. 복호화를 하면 값은 참 잘 나오는데요.. 예를들면요, 우선 처음 예약하는 회원, 이하 회원1 이 이름,이메일,전화번호 를 입력햇다고치구요 자바단에서 입력받은 값을 암호화시켜서 디비에 넣습니다. 그리고 그 회원1 이 다음날, 똑같은 정보를 입력해서 다른 예약을 또 했다고치면똑같은 정보임에도 암호화된 값이 달라서, 같은 사람으로 인식할 수가 없습니다. 예를들면 회원1의 총 예약횟수를 구한다고치면 SELECT count(*) FROM table_info WHERE name &#61; '회원1의 입력값' AND phone &#61; '회원1의 입력값' AND email &#61; '회원1의 입력값' 이런식으로 쿼리를 날려서 보여주고있거든요.. 그런데 AES-256 암호화를 걸면매번 입력할때마다 암호화된 값이 달라져버립니다. 그래서 위의 쿼리를 날리면 count가 1개밖에 안되버립니다.. 그리고 이것과별개로 관리자에서 이름으로 검색을 하는 기능이 있는데요, SELECT count(*) FROM table_info WHERE name like '% ' | '관리자가 검색시 입력한 값의 암호화된 값' | '%' 이런식으로 날려야하는데, 관리자가 검색시 입력한 값의 암호화된 값이 name 컬럼과 일치하는 부분이 전혀 없어져버립니다. 예를들면 이름에 철수가 포함되는 사람을 검색하고싶은 상황이라고 쳤을때DB에 저장된 김철수 : 8uT4VqubE1XQev67QEsqmJQNLQ5PQj7w94zPCHvM8mYkisytOHJ 를 찾고싶습니다.그런데 철수를 암호화하면 철수 : j1kehzoul2Mj7K7dk8Q31c&#43;gwE3Q1Mlx8rLMADHenIzteRE8bzUPOWV이런식으로 나와버려서 name like 를 이용한 검색을 아예할수가없습니다.. 1.AES-256 는 암호화된값이 일정하게 나올수 없는건가요? 2.원래 무조건 매번 다른 값이 나오게 되어있는 암호화 방식인건가요? 3. 위 2개 질문의 답이 예, 라면 암호화된 값 대상으로는 검색이라는게 성립이 될수가 없는건가요?4. 제가 원하는 바를 이루려면 저는 어떻게해야될까요? 취약점 검사 지적된 사항인데요, 마감이 다음주랍니다.. 미쳐버릴것같습니다.. 제가 가져다가 쓴 AES암호화는 https://offbyone.tistory.com/286 여기서 가져왔습니다.. 제발도와주세요.. ㅠㅠㅠㅠㅠㅠㅠㅠㅠㅠㅠ

esrse · Accepted Answer

제가 aes256 이 동일한 값이 나오는 방법을 찾아서 쓴 답변입니다.https://okky.kr/article/822729?note&#61;2157284이게 참고가 될 거라고 생각하고요. 일단 저는 aes256이 매번 똑같은 값으로 나오지 않는 게 더 좋다고 생각합니다.이게 aes256의 기본적인 특성이기도 하고, 더 보안성이 뛰어나기 때문입니다. 그대신 sha256 같은 해시함수를 이용해서 메시지를 다이제스트하는 방법을 대안으로 제시합니다.메시지다이제스트는 같은 평문을 같은 해시값으로 만들어줍니다.따라서 김철수를 해시하면 메번 같은 값이 나오죠. 즉 암호화된 컬럼은 그것대로 그대로 두고, 이름, 이메일, 전화번호를 합친 뒤 sha256으로얻은 메시지다이제스트 값을 별도의 컬럼으로 저장시킵니다. 그리고 나중에 조회할 때도 같은 방법으로 이름, 이메일, 전화번호를 합친뒤 sha256값을 구하고 그것을 select문으로 조회하는 식으로 접근하면 될 거 같습니다.

지붕뚫고높이차 · Answer

.

보후리 · Answer

esrse답변 너무나도 감사드립니다.. 정말 소중한 답변....우선 취약점 검사하는데 AES 값이 같게 나온다는 부분을 어떤 영향이 있을지는 모르겠지만, 암호화를 한다는데 의의를 두고 일단 AES를 같은값으로 나오도록 하는거부터하려고합니다 ( 전부다 합친 메시지 다이제스트값을 별도의 컬럼으로 두는 안은 일단 인지만 해놓고, 우선 AES 부터 완성시키고 생각해보려고합니다 ) 회원 식별하는 문제는 AES 값 같게 하여서 해결이 우선 된것같습니다 검색같은경우는 원래 like 로 부분일치하는 값이었는데, 전부다 일치하도록 하는 식으로 변경하는 수밖에 없는것같아서 일단 그렇게 가려고합니다 답변 너무너무 감사드려요.... 암호화 개념없이 소스만 가져다가 적용했었던 상태였는데, 링크걸어주신글보고 iv바이트, salt바이트 등의 존재를 알았습니다.. 정말정말 감사드려요 ㅠ

자바 초보 암호화된 데이터 검색(AES-256) 막혔습니다..

3개의 답변

Q&A 목록