xe에 좋은글 있어서 퍼옵니다.
http://www.xpressengine.com/userForum/20264651
그누에도 몇번 올라온것 같았는데....이부분 변경하실 의사 없으신가요?
MD5의 문제점은 오래되었지요...
그누는 지금보니 mysql password방식이네요.
다른 보드랑 헛갈렸나보네요...
그누에서 어딘가 MD5를 쓴것으로 기억했는데 아닌가봐요 ㅎㅎ
무튼 타 보드든 자작 프로그램이든 MD5는 될수있으면 사용 안하는쪽이 좋을것 같습니다.
|
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기
댓글 32개
그누는 mysql password 방법쓰는거 아녔나..
MD5암호화가 그누가 아니면 어디서 본것일까요....
보드를 이것저것 만졌더니... ㄷㄷ
현재 버전에서는 어쩔수 없고 다음에 만들게 된다면
md5($mb_id.$mb_password) 조합을 생각하고 있습니다.
알고리즘을 기준으로 경우의 수?를 돌려서 똑같은 결과값을 찾는것으로 알고있습니다.(잘못봤을지도.)
4자리는 한시간 안에 되고 좀 긴 문자는 몇달 걸린것 같은데요
구글링했을때
성능 좋은컴퓨터의 그래픽 카드를 이용해서 써치하면 몇초면 된다고 하던데...(방법은 모르구요 ㅎㅎ)
세상에서 가장안전한 비밀번호 암호화 방법 무엇일까요?
비밀번호를 20자의 영문대.소문자, 숫자, 특수문자를 썩어서 만든뒤에,
하루마다 바꿔준다면 괜찮을꺼 같아요.
한마디로 아무리 암호화방식이 뛰어나도, 사용자가 비번을 "123" 같은걸로 만들면 소용없다는거죠 ㅎㅎ
생각해보니
이중암호화도 좋을것같네요.
At the moment, several hash functions are competing to become SHA-3, the next standardised cryptographic hashing algorithm. A winner will be chosen in 2012. None of these should be used yet!
For password hashing, you may also consider using something like bcrypt. It is designed to be slow enough to make large scale brute force attacks infeasible. You can tune the slowness yourself, so it can be made slower when computers are becoming faster.
Warning: bcrypt is based on an older two-way encryption algorithm, Blowfish, for which better alternatives exist today. I do not think that the cryptographic hashing properties of bcrypt are completely understood. Someone correct me if I'm wrong; I have never found a reliable source that discusses bcrypt's properties (other than its slowness) from a cryptographic perspective.
It may be somewhat reassuring that the risk of collisions matters less for password hashing than it does for public-key cryptography or digital signatures. Using MD5 today is a terrible idea for SSL, but not equally disastrous for password hashing. But if you have the choice, simply pick a stronger one.
Using a good hash function is not enough to secure your passwords. You should hash the passwords together with salts that are long and cryptographically random. You should also help your users pick stronger passwords or pass phrases if possible. Longer always is better.
저도 다 해석 할수없어요 ㅋㅋ
검색 뿐만 아니라 컴퓨터 발전은 성능으로 이 문제는 더욱 위험해졌죠. 그래서 우리나라도 암호고도화 계획이라는 주제로 일정한 기간내 사용할 수 있게 제한을 두면서 MD5에서 SHA1, SHA1에서 이제는 SHA256.. RSA는 1024비트에서 2048비트로 키길이가 늘어나고... 앞으로 세월이 갈수록 계속 늘어나겠죠.
결국은 창,방패 논쟁이라는거죠...
저랑 같이 신세계를 만들고자 하실분 없나용? ㅎ.ㅎ (기왕이면 홍보도... 최초이네용)
$hash_pass = hash('sha512', $user_password );
더욱 강력하게 하려면..
- hash(SALT || 비밀번호 || SALT)
- hash(SALT || hash(비밀번호))
- hash(비밀번호 || hash(비밀번호 || SALT))
- hash(hash(SALT)||hash(비밀번호))
* SALT 값은 사용자마다 랜덤하게 생성하여 할당