암호화 난이도 조절

[junha-ahn]

Description

현재 암호화에 사용되는 알고리즘, Spring 클래스 등 정보와 자료조사 부탁드립니다.

목적은 현재 암호화 난이도 확인(기본값이라면 그에 대한 정보)과 변경에 따른 성능변화 조사입니다.

• 관련해서 전반적인 정리가 있으면 좋을것 같습니다. (암호화 난이도 변경에 따른 성능과 안전 등)

스프링 앱 내부 암호화 클래스의 strength 인자 조절 - 출처

Todo

• 위에 대한 내용 전반적인 개념 설명
• 간단하게 로컬 환경에서 암호화 난이도에 따른 응답 시간 변경 측정
  • 물런 로컬은 클라우드 환경과 다른 리소스(CPU)를 사용하지만, 어느정도의 비율로 성능이 변할수 있는지 확인하기 위함입니다
  • 기존/변경 난이도로 각각 회원가입 10번 실행 후 평균 응답 시간 기록

아래 기존 이슈 확인 부탁드립니다.

Originally posted by @junha-ahn in #105 (comment)

[minjun3021]

실제로 암호화 된 패스워드 예시

$2a$10$wRtYHbZ85YXkH.IfW/xjt.nk2EroqU7Yi77Urbikmq7LQjUfqyXx6

실제로 암호화 된 패스워드 설명

$10$ <- 숫자가 로그 라운드 값이다.
범위는 4~31이며 default값은 10이다.
이 숫자는 해시화 할때 알고리즘의 반복 횟수를 뜻한다.
비밀번호에 대해 2^10 = 1024번의 해시 연산을 수행한다.

wRtYHbZ85YXkH.IfW/xjt.
그다음 22개의 문자가 랜덤한 솔트값이다.

마지막으로위치해 있는 문자열은
원래 비밀번호에 솔트가 붙어서 로그 라운드에 따라 해싱된 해시 값이 있는것.

Encode 과정

스프링에서 사용되는 BcyptPasswordEncoder는 로그인시에 db에 encode되어있는 비밀번호를 가져온뒤
그 비밀번호에 적혀있는 log round와 salt값을 가져와서
로그인 요청에 있는 비밀번호에 salt값을 붙혀서 log rounds만큼 해싱하고 처음에 가져온 값과 비교하여 일치여부를 판단한다 .

암호화 강도를 낮추려면 로그라운드를 낮추어야 한다.

---

로컬에서 LogRounds를 변경하여 로그인 요청을 보냈을때 그에 대한 response time(10회 요청 평균)

Log Rounds	response time
4	10ms
6	12ms
8	26ms
10	75ms
12	267ms
13	544ms
14	1s
15	2s
16	4s
17	8s
18	16ms
19	32ms
20	1m 8s

2^n번 수행하는거 답게 횟수가 어느정도 늘어난 후부터는 *2씩 늘어나는걸 볼수있다.

Log Round 정하는 기준

Recommended # of rounds for bcrypt
위글에서 Log Rounds설정 기준에 대해 논하고있는데
round수는 많을 수록 좋지만 시스템에 지장을 주지 않는선에서 round수를 지정하라고한다.
Log Round 를 먼저 정하지말고 서버에서 encode에 어느정도 걸리는지를 확인하고 250ms 에 비슷하게 맞추라고 조언하고있다

[junha-ahn]

매우 좋습니다! 감사합니다!