뽐뿌는 자체 플랫폼인가요?

pbkdf2 방식으로 쓰면 되는건가요 ?

비밀번호 보안수준의 낮음,높음이 얼마나 큰 차이가 있는지도 궁금하네요.

만약 비번이 1234라면 어떤 방식을 쓰더라도 무차별 대입으로 뚫리는 건 마찬가지입니다. 0.01초만에 뚫리느냐 10분만에 뚫리느냐의 차이일 뿐...

만약 비번이 z@9Q9YVmT%S8V5PBWkWTD@fZrZDWMdV4라면 어떤 방식을 쓰더라도 뚫기 어렵습니다. MD5로 해놓아도 몇억년은 걸릴 듯...

비번 암호화 알고리듬의 차이는 중간 정도의 복잡도를 가진 일반적인 비번에서 가장 크게 느껴지죠. 흔히 보안에 좀 신경쓴다는 일반인들은 8~10자 정도의 영문과 숫자를 섞어쓰잖아요. 이 경우 MD5는 레인보우 테이블을 사용하면 몇 초만에 뚫리고, 레인보우 테이블을 안 쓰고 무차별 대입해도 열흘이면 뚫립니다. 그러나 PBKDF2나 bcrypt는 일단 레인보우 테이블을 무용지물로 만들어 버리고, 무차별 대입에는 10만 배 이상의 시간이 걸리죠. 열흘 × 10만 = 2700년 = 난 이미 이 세상에 없는데 비번 털어서 뭐하게? ㅋ

물론 알고리듬을 바꾼다고 즉시 완벽한 보안을 얻게 되는 건 아닙니다. 얼마전 뉴스에 나왔던 애슐리매디슨은 bcrypt를 사용했는데도 회원 비번이 많이 털렸어요. 그 이유는 bcrypt로 전환하기 전에 사용하던 MD5 방식의 비번이 여전히 많이 남아 있었기 때문입니다. 그래서 애슐리매디슨 측에서는 "우린 bcrypt니까 걱정없다"라고 했지만 실제로는 예전에 가입한 회원들의 비번이 죄다 털렸습니다. XE도 MD5를 벗어난 지 얼마 되지 않아서 여전히 이런 문제가 있을 수 있습니다. 비번 암호화 알고리듬을 변경한 후에는 회원들에게 꼭 한 번씩 로그인해 줄 것을 요청하는 것이 좋습니다.

아 그럼 관리자페이지 회원설정 옵션에 알고리즘이 바뀌면 로그인시 자동으로 바뀌는 옵션을 예로 해야하는거군요.