인증(Authentication)과 권한(Authorization)

date

Apr 5, 2023

thumbnail

slug

authentication-and-authorization

author

status

Public

tags

CS

Express

Authentication

Authorization

TIL

summary

백엔드에서 다루는 인증과 권한의 개념, 해시 함수와 암호화, 솔트와 Bcrypt가 무엇인지 다루어 보았습니다.

type

Post

category

Backend

인증(Authentication)과 권한(인가: Authorization)

인증(Authentication, Auth)

권한(Authorization, 인가)

비밀번호를 원형으로 저장하지 않는 방법

해시 함수(Hash Function)란? 임의의 길이를 갖는 데이터를 고정된 길이의 데이터로 매핑(변환)하는 함수다. 해시 함수에 의해 얻어지는 값은 해시 값, 해시 체크섬 또는 해시라고 한다. 암호 알고리즘과 달리 키(key)를 사용하지 않아 같은 입력에 항상 같은 출력이 나오게 된다. 주로 데이터의 오류나 변조를 탐지하여 데이터 무결성을 제공하기 위해 사용한다.

암호화 해시 함수(cryptographic hash function)

단방향 함수

단방향 함수(일방향 함수, one-way function)란? 계산하기는 쉽지만 역을 구하는 것은 어려운 함수다. 결과값이 주어졌을 때 입력값을 구하는 것이 어려운 함수이다. ‘쉽다’, ‘어렵다’는 의미도 수학적으로 엄밀히 정의해야 한다. - 위키백과

눈사태 효과 (쇄도 효과, 산사태 효과)

충돌 저항성(collision resistance)

해시 충돌(Hash Collision)이란? 해시 함수가 서로 다른 두 개의 입력값에 대해 동일한 출력값을 내는 상황을 의미한다. 해시 함수의 입력값 수가 무한하다고 가정한다면 비둘기집 원리에 의해 해시 충돌은 항상 존재할 수 밖에 없다. 해시 충돌은 함수를 이용한 자료구조나 알고리즘의 효율성을 떨어뜨리기 때문에 해시 충돌이 자주 발생하지 않도록 구성되어야 한다. 특히 암호학적 해시 함수의 경우 해시 함수의 안전성을 깨뜨리는 충돌 공격이 가능하기 때문에 의도적 해시 충돌을 만드는 것이 어렵도록 만들어야 한다.

결정적 함수(Deterministic functino)

느린 함수

솔트 (암호학)

암호학에서 솔트(salt)는 데이터, 비밀번호, 통과암호를 해시 처리하는 단방향 함수의 추가 입력으로 사용되는 랜덤 데이터이다. 솔트는 스토리지에서 비밀번호를 보호하기 위해 사용된다. 역사적으로 비밀번호는 시스템에 평문으로 저장되지만 시간이 지남에 따라 추가적인 보호 방법이 개발되어 시스템으로부터 사용자의 비밀번호 읽기를 보호한다. 솔트는 이러한 방식의 하나이다. - 위키백과

Bcrypt

npm: bcrypt

A bcrypt library for NodeJS.. Latest version: 5.1.0, last published: 6 months ago. Start using bcrypt in your project by running `npm i bcrypt`. There are 3815 other projects in the npm registry using bcrypt.

https://www.npmjs.com/package/bcrypt

npm: bcryptjs

Optimized bcrypt in plain JavaScript with zero dependencies. Compatible to 'bcrypt'.. Latest version: 2.4.3, last published: 6 years ago. Start using bcryptjs in your project by running `npm i bcryptjs`. There are 3002 other projects in the npm registry using bcryptjs.

https://www.npmjs.com/package/bcryptjs

예제 코드

// Usage Step#1
bcrypt.genSalt(saltRounds, function(err, salt) {
    bcrypt.hash(myPlaintextPassword, salt, function(err, hash) {
        // Store hash in your password DB.
    });
});

• genSalt()는 솔트 값을 생성해주는 메서드이다.

사용하기

const bcrypt = require('bcrypt');

const hashPassword = async () => {
    const salt = await bcrypt.genSalt(12);
    console.log(salt);
}

hashPassword();

$ node index.js
$2b$10$.o7mp2lhmgcKAiYGU4eTVu

• 콘솔에 출력된 결과값이 자동으로 생성된 솔트

const bcrypt = require('bcrypt');

const hashPassword = async (password) => {
    const salt = await bcrypt.genSalt(12);
    const hash = await bcrypt.hash(password, salt)
    console.log(salt);
    console.log(hash);
}

hashPassword('qwer1234');

$ node index.js
$2b$10$.T5MREqV6V1Gmlpl/1aF8e
$2b$10$.T5MREqV6V1Gmlpl/1aF8eKV1rd7ZAPFEA7hkKYD9ZJiYVV/YRBly

• 위가 솔트값, 아래가 패스워드 ‘qwer1234’를 솔트와 함께 해싱한 해시 값

// Load hash from your password DB.
bcrypt.compare(myPlaintextPassword, hash, function(err, result) {
    // result == true
});
bcrypt.compare(someOtherPlaintextPassword, hash, function(err, result) {
    // result == false
});

• compare() 메서드는 암호를 비교하기 위한 메서드

const bcrypt = require('bcrypt');

const hashPassword = async (password) => {
    const salt = await bcrypt.genSalt(12);
    const hash = await bcrypt.hash(password, salt)
    console.log(salt);
    console.log(hash);
}

const login = async (password, hashedPassword) => {
    const result = await bcrypt.compare(password, hashedPassword);
    console.log(result);
}

// hashPassword('qwer1234');
login('qwer1234', '$2b$10$.T5MREqV6V1Gmlpl/1aF8eKV1rd7ZAPFEA7hkKYD9ZJiYVV/YRBly');

• 콘솔에 출력된 해시 값을 넣어 검증한 결과와, 값을 바꾸어 검증한 결과