[ bcrypt ] 🔑 데이터 암호화 해보기

참고사이트

• hxyxneee.log님의 벨로그

우리는 본인을 인증할 때, 중요한 정보들을 담아보낸다.

아이디, 비밀번호, 개인정보(이름, 주민등록번호, 핸드폰 번호) 등...

데이터를 보낼 때 유출이 되더라도 해당 데이터를 비밀스럽게 바꾸어 해커가 해당 데이터를 쉽게 파악하지 못하도록해야 조금이나마 더 안전할 수 있기에 암호화가 필요하다.

 

🔑 암호화

암호화란, 특정 지식을 소유하고 있는 사람들을 제외하고는 누구든지 읽어볼 수 없도록 정보를 전달하는 과정이다.
반대로 암호문을 평문으로 바꾸는 것을 복호화라고한다.

⚠️  암호화의 필요성

유저의 비밀번호는 그대로 DATABASE에 저장하지 않는다.

❓ DB가 해킹 당하면 유저의 비밀번호가 그대로 노출된다.

❓ 외부 해킹이 아니더라도 내부 개발자가 DB에 접근해 개인정보를 볼 수 있다.

 

---

🔒 bcrypt

단방향 암호화를 위해 만들어진 해시 함수이다. 즉, 복호화는 불가능하다.

그렇다면 복호화가 불가능한데, 어떻게 기존의 비밀번호와 비교하여 옳은지 판단할 수 있을까?

 

📢 비밀번호 자체를 검증할 때는 입력받은 값을 암호화해서 저장된 암호화된 값과 비교해서 검증할 수 있다.

🖇️ Hash

임의의 길이를 갖는 임의의 데이터에 대해 고정된 길이의 데이터로 맵핑하는 함수를 Hash함수라고 한다.
이 함수의 결과물이 Hash값이다.

💡 기존 sha256과 같은 해시 함수들이 사용되고 있었으나, sha256과 같은 경우 암호화를 위해 설계된 것이 아닌 짧은 시간내에 데이터를 빠르게 검색하기 위한 구조로 설계 되어있다. 따라서 빠른 속도가 장점이지만, 보안에 취약하다는 단점이 있다.

또한 미리 해시값을 계산해놓은 Rainbow Table, Rainbow Table Attack이라는 해시 함수 반환 값을 역추적하는 해킹 방법으로 인한 보안 취약점들이 존재한다.

 

🧂 Salting

실제 비밀번호 이외에 추가적인 랜덤한 데이터 값을 더해 해시값을 계산하는 방법이다.
음식에 간을 치듯, 유저가 어떠한 비밀번호를 설정했든지 상관없이 거기에 난수를 추가하여 해시함수에 집어넣는 것이다.

즉 비밀번호의 복잡도를 키워 보안을 높이는 것이다.
이렇게 되면 비밀번호의 길이가 매우 길어지고, 비밀번호가 길수록 크래킹하는데 필요한 연산시간이 더 늘어나 해킹이 어려워진다.

 

⛓️ Key Stretching

단방향 해시 값을 계산한 뒤, 그 해시 값을 해시하고, 또 해시하는 반복 과정을 말한다. 키 스트레칭을 적용하여 동일 장비에서 1초에 5번 정도만 비교할 수 있도록 한다.
즉, 기존 단방향 해시 알고리즘의 빠른 실행속도가 취약점이 됐던 것을 보안하기 위한 방법이다.

 

---

 

🧑🏻‍💻 Code

⬇️ intall

bcrypt 를 설치한다.

$ npm install bcrypt

 

🚚 import

설치한 bcrypt를 가져온다.

const bcrypt = require('bcrypt');

 

🔒 encrypt

가져온 라이브러리를 이용하여 함수를 작성한다.

// 임의의 비밀번호 설정.
const password = '1111';

// 비밀번호를 입력 받아 해당 값을 암호화
const encryption = (target) => {
  // 우선 솔팅할 값을 생성
  const salt = bcrypt.genSaltSync(10);
  // 암호화하고자 하는 비밀번호를 해쉬하고 솔트값을 더함
  const hash = bcrypt.hashSync(target, salt);

  //결과 출력
  console.log(salt);
  console.log(hash);
};

//함수 실행
encryption(password);

 

다음과 같이 작성 후, 해당 파일을 실행한다.

 

# 첫 번째 실행
$ node src/hash/index.js
$2b$10$OTjAIB8Oq.p7TNM8ViNaK.
$2b$10$OTjAIB8Oq.p7TNM8ViNaK.fvN7eYh8YaV4gqeD3WlMZgmjgohfPDa

# 두 번째 실행
$ node src/hash/index.js
$2b$10$oMMPhA3og8VskrgrwZIBlu
$2b$10$oMMPhA3og8VskrgrwZIBlugJDSwVVgNtarZnMBhGFhKedY7zmFJoq

 

똑같은 값 password = '1111'을 해쉬했는데 결과는 전혀 다른 값이 나오지만 이를 검증하여 비밀번호를 확인할 수 있다.

 

 

$2는 bcrypt의 버전을 의미하며,

$10은 salt 값을 생성할 때, 입력해준 값을 의미한다.

 

salting을 할 때 입력한 setRounds값은 다음과 같은 시간을 가진다.

 

 

 

🧑🏻‍🤝‍🧑🏻 compare 

위에 암호화된 데이터를 기존 데이터와 비교하여 로그인해보자.

const correctPw = '1111';
const inCorrectPw = '1112';
const hash = '$2b$10$OTjAIB8Oq.p7TNM8ViNaK.fvN7eYh8YaV4gqeD3WlMZgmjgohfPDa';

const comparePw = (target, hash) => {
  bcrypt.compare(target, hash).then((res) => {
    if (res) console.log('Success LogIn');
    else console.log(target, 'is not correct');
    return res;
  });
};

comparePw(correctPw, hash);
comparePw(inCorrectPw, hash);

 

다음과 같이 작성하고 코드를 실행한다.

$ node src/auth/hash/index.js
Success LogIn
1112 is not correct

 

'1111'을 넣은 함수는 "Success Login"을 출력하고

'1112'를 넣은 함수는 옳지 않은 메시지를 출력한다.