회원가입과 로그인 기능에 대해서 궁금한 점이 있습니다.

Question

제가 이해하기로는 회원가입이나 로그인 등 회원의 패스워드를 서버로 보낼 때에는 공개키를 사용해서 암호화를 시켜 중간에 데이터가 탈취당해도 서버 이외에는 복호화 할 수 없게 하는 것으로 알고있는데,그렇다면 서버는 패스워드를 복호화 시킬 수 있으니 내부적으로 패스워드의 플래인텍스트를 알 수 있지 않나요? 그래서 애초에 클라이언트쪽에서 해싱을 해서 해싱된 값을 암호화 한 후 서버에 전송하는 방법도 생각해 봤는데, 뷰단에서 해싱을 해서 정보를 보내는 과정이 제대로 된 과정인지 의문이 듭니다. 보통 해싱은 클라이언트에서 하나요 서버에서 하나요?서버에서 한다면 서버가 패스워드의 플래인텍스트를 알지 못하게 하려고 어떤 방법을 사용하나요?

바닐라 · Accepted Answer

저도 궁금해서 찾아봤는데 https://security.stackexchange.com/questions/53594/why-is-client-side-hashing-of-a-password-so-uncommon클라이언트에서만 해시를 하면 해시된 정보가 탈취 돼었을때, 그 값이 실제 패스워드로 동작하기 때문에 안전하지 않은 것 같습니다. 사용하려면 클라이언트 사이드에서 해시를 한번 하고, 서버사이드에서 다시 해시를 해서 DB에 저장하라고 하네요. (2번째 답변)

컴포지트 · Answer

1. 해싱은 보통 서버에서 처리합니다. 보통 HTTPS 통신은 중간자 탈취가 어렵습니다. 그래서 쉽고 안전하며 빠른 방법으로 많이 쓰죠.2. 서버가 비밀번호를 못알게 하는 방법은 기본적인 시큐어코딩만 지키면 어렵지 않습니다. 노출시킬 빌미만 제공하지 않으면 되죠.

컾희 · Answer

1. 서버에서 합니다.2. sha 방식을 쓰곤 합니다

Gnaseel · Answer

저는 중간자 탈취가 아니라, 서버에서 패스워드의 플래인 텍스트를 알지 못하게 하고싶습니다.sha 방식으로 서버에서 해싱을 한다면, 클라이언트는 공개키만 사용해서 패스워드를 암호화한 후 전송한다는 의미 아닌가요?그렇다면 서버는 비공개키로 사용자의 패스워드를 복호화한 뒤 sha방식으로 해싱을 하는데, 이 과정에서 서버가 패스워드의 플래인텍스트를 알게된다라고 이해했습니다.그래서 서버가 패스워드의 플래인텍스트를 모르게 하려면 어떤 과정을 거쳐야 하는지 궁금합니다.

Gnaseel · Answer

역시 클라이언트에서 한번 해싱을 거치는게 맞았군요 뭔가 클라이언트쪽에서 하지 않으면 안될거라 생각하고있었습니다.

회원가입과 로그인 기능에 대해서 궁금한 점이 있습니다.

5개의 답변

Q&A 목록