admin //
관리자님 감사합니다. 그누보드 만쉐이~~ 잇힝~!

데몬님 //
BSD 데몬인것 같은데 맞으신지요. 흐흐.

사용하고 있는 Hashing 알고리듬인, md5 는 공개되어 있습니다.
하지만, 한글 문서는 저도.. -_-; 모르겠습니다. 죄송

1. hashing key 을 되돌리는 것은 불가능합니다. 역함수가 존재하지 않으므로 크래커는
  무식한 방법으로, -_-; 깨야 하고요..
  그냥 쉽게 생각해서 해슁키가 [0-9]{32} 라고 가정하면, (실재로는, [a-z0-9]{32})
  99,999,999,999,999,999,999,999,999,999,999 라는 해슁키가 존재합니다. ^^;
  그래서 원 비밀번호를 짧은 시간 내에 알아내는 것은 불가능합니다.
  (이게 가능하다면, 상대적으로 짧은 MySQL 의 password 함수를 가지고 고민할 일이 없겠죠)

2. 전통적인 부르스트 포스 방식의 패스워드 크랙 + 사전 참조 크랙이라 하더라도,
  전송되는 해슁키는, md5(password) 가 아닌,
  md5(id|md5(password)|random(seed))  이므로,
  비밀번호가 1234 이고 이것에 대한 md5('1234') = '81dc9bdb52d04dc20036dbd8313ed055' 라는 것을
  우리가 설령 알고 있다고 해도,
  실재로 전송되는 암호는 위의 '81dc9bdb52d04dc20036dbd8313ed055' 이 아닌 임의의 해슁 값입니다.
  또한, 매번 변하고요.. (페이지 요청시마다 변하는 것이 좋긴 하지만, 로직이 복잡해져서 접속당 한번
  이긴 하지만 변합니다.)

  따라서, 스니핑에 노출되어도 안전하다고 말 할 수 있겠죠. ^^;

3. 마지막으로, 최초 패스워드 등록시, 또는 변경시에는 패스워드의 md5() 값이 노출됩니다.
  이것으로 크래커가 사이트 진입을 성공시킬 수 있겠습니다만. -_-;
  원문 패스워드가 무엇인지는 여전히 알아내기 어렵습니다.
  (그러나, 이번 수정사항에는 사용자 등록, 정보변경시에는 md5() 값이 아닌 평문 비번이 전송됩니다.
  -_-; 개을러서뤼..)

^^*

그누 코어에 반영되었으면 하는 바램. (password() 대체)이 있습니다만,
문제는 기존 패스워드를 이전할 방법이 없다는 것이 문제입니다. (이미 해쉬되 결과라서)

머.. ^^; 언젠가는 등떠밀려서라두 진행되야 할 작업이긴 하겠지만요.

그누보드 만쉐~ 잇힝~