[Spring Security] BCrypt 해시 함수 알고리즘

Spring Security 에서는 BCryptPasswordEncoder 라는 클래스를 제공하는데

이 클래스는 비밀번호를 암호화할 때 사용한다.

 

이때 암호화 방식을 BCrypt 해시 함수 알고리즘을 사용하는데

BCrypt 해시 함수 알고리즘에 대해 자세히 알아보겠다.

 

 

- BCrypt 란? 

BCrypt 방식은 비밀번호 해싱을 위한 알고리즘이다.

단방향 해시로 원본 비밀번호를 복원할 수 없다.

 

 

- BCrypy 동작 방식 

내부적으로 랜덤한 솔트를 자동 생성하여 비밀번호 해싱에 포함시킨다.

 

랜덤 salt 생성 >  비밀번호 + salt 결합 > 비용팩터에 따른 반복 해싱 > 해싱 결과 저장 

 

의 과정을 거친다.

 

 

- salt(솔트) 란?

해시함수에 추가적으로 사용되는 랜덤 데이터

 

1. 무작위성 추가 : 동일한 비밀번호라도 소르가 다르면 다른 해시값이 생성됨

2. 무작위 대입 공격 방어 : 미리 계산된 해시값을 사용할 가능성을 방지

3. 중복 방지 :  동일한 비밀번호를 사용해도 서로 다른 해시 값이 생성됨

 

pass123 + slat2 => hash1

pass123 + salt2 => hash2

 

 

- 비용 팩터 (cost factor)

1. bcrypt 반복 횟수를 설정하는 비용 팩터 제공

2. 2의 거듭제곱으로 설정되고

3. 비용 팩터가 높을 수록 보안이 강화되지만 연산 속도는 느려짐