'소금 절임'
Salting
Salting 정의
Salting은 비밀번호를 보호하기 위해 해시되기 전에 비밀번호에 임의의 문자 문자열을 추가하는 기술입니다. 이 임의의 문자열은 "salt"라고 하며, 데이터베이스에 해시된 비밀번호와 함께 저장됩니다. Salting의 목적은 비밀번호의 보안을 강화하고 무차별 대입 공격이나 레인보우 테이블과 같은 사전 계산된 테이블을 통해 비밀번호를 해독하는 것을 더 어렵게 만드는 것입니다.
Salting은 비밀번호 해싱에서 필수적인 단계로, 각 비밀번호에 예측 불가능성과 고유성을 추가합니다. Salt를 추가함으로써 두 사용자가 동일한 비밀번호를 가지고 있더라도, 사용된 salt가 다르기 때문에 결과로 나오는 해시 값은 달라집니다.
Salting 작동 방식
사용자가 비밀번호를 생성할 때, 임의의 값(salt)이 생성됩니다. 이 salt는 비밀번호와 결합되어 해시되기 전에 사용됩니다. 해시된 값과 salt는 이후 검증을 위해 데이터베이스에 저장됩니다.
예를 들어, 사용자의 비밀번호가 "password123"이고 시스템이 "a8#3B"라는 salt를 생성했다고 가정합니다. 시스템은 "password123a8#3B"의 해시 값을 저장하고 salt "a8#3B"를 데이터베이스에 저장합니다.
사용자가 로그인하려고 시도할 때, 시스템은 사용자 계정에 연결된 salt를 가져와 제공된 비밀번호와 결합합니다. 그 결과 값은 저장된 해시 값과 비교됩니다. 만약 일치하면, 비밀번호가 올바른 것으로 간주됩니다.
무작위 salt를 사용함으로써, 시스템은 원래 비밀번호가 같더라도 각 비밀번호가 다르게 해시되도록 보장합니다. 이는 공격자가 사전 계산된 테이블이나 다른 형태의 무차별 대입 공격을 사용하여 비밀번호를 해독하기 훨씬 더 어렵게 만듭니다.
Salting의 장점
Salting은 비밀번호 보안에 여러 가지 장점을 제공합니다:
복잡성 증가: 각 비밀번호에 임의의 salt를 추가함으로써, 해싱된 값의 복잡성이 크게 증가합니다. 이러한 복잡성은 공격자가 일반적인 기술을 사용하여 비밀번호를 추측하거나 해독하기 어렵게 만듭니다.
고유한 해시: 두 사용자가 동일한 비밀번호를 가지고 있더라도, salt는 해시된 값이 다르게 보장합니다. 이는 레인보우 테이블 공격으로부터 보호하는데, 이는 비밀번호 해시의 사전 계산된 테이블을 이용합니다.
사전 공격에 대한 보호: 사전 공격은 일반적으로 사용되는 비밀번호에 대해 미리 계산된 해시 목록을 사용하고, 이를 해시된 값과 비교하는 것을 포함합니다. Salt를 사용하여, 일반적인 비밀번호도 고유한 해시를 가지게 되어 사전 공격이 덜 효과적입니다.
레인보우 테이블 공격에 대한 내성: 레인보우 테이블은 가능한 비밀번호에 대한 대규모의 사전 계산된 해시 데이터베이스입니다. Salting은 각 salted 비밀번호가 고유한 해시를 가지게 하여 레인보우 테이블의 사용을 효과적으로 무력화합니다, 이는 원래의 비밀번호를 쉽게 역설계할 수 없도록 보장합니다.
Salting을 위한 모범 사례
비밀번호 해싱을 위한 Salting을 구현할 때, 최대한의 보안을 보장하기 위해 모범 사례를 따르는 것이 중요합니다:
강력한 해싱 알고리즘 사용: bcrypt 또는 SHA-256과 같은 안전한 해싱 알고리즘을 선택하세요. 이러한 알고리즘은 계산 비용이 많이 들도록 설계되었으며, Salt에 접근하더라도 공격자가 해시된 비밀번호를 해독하기 어렵게 만듭니다.
임의의 Salt 생성: 각 Salt는 고유하고 비밀번호마다 임의로 생성되어야 합니다. 이를 통해 공격자가 사전 계산된 테이블이나 레인보우 테이블을 사용하여 여러 비밀번호를 동시에 해독하는 것을 막습니다.
Salt를 안전하게 저장: Salt는 해시된 비밀번호와 함께 저장되어야 합니다. 그러나 데이터베이스나 인증 시스템과 분리되어 저장되어야만 인가되지 않은 접근을 방지할 수 있습니다.
정기적으로 해싱 알고리즘 업데이트: 최신 비밀번호 해싱 알고리즘 발전을 따라가고 시스템을 그에 맞게 업데이트하십시오. 새로운 알고리즘 버전은 보다 정교한 공격을 견딜 수 있는 향상된 보안 기능을 제공하는 경우가 많습니다.
Pepper 사용 고려: Pepper는 비밀번호와 salt에 추가되는 비밀 키입니다. Salt와는 달리, peppers는 해시된 비밀번호와 별도로 저장되어 추가적인 보안 계층을 제공합니다. 그러나 pepper를 기밀로 유지하고 적절히 보호하는 것이 필수적입니다.
이러한 모범 사례를 따르면, Salting 기술이 진화하는 사이버 보안 위협에 대해 강력하고 효과적으로 유지되도록 보장할 수 있습니다.
관련 용어
Hashing: 해싱 알고리즘을 사용하여 일반 텍스트 비밀번호를 난독화된 고정 길이 문자열로 변환하는 과정.
Rainbow Tables: 일반적으로 salting을 통해 완화되는 해시된 비밀번호를 해독하기 위해 사용되는 사전 계산된 테이블.