메뉴 건너뛰기

2020.11.25 13:24

MySQL 암호화 방법

조회 수 360 추천 수 0 댓글 0
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

MySQL을 이용하는 대부분의 사이트에서 사용자의 정보를 암호화 하는데 MD5(SHA1)를 사용합니다. 하지만 MD5(SHA1)는 암호화가 아닌 해시 값 입니다. 해시 알고리즘 MD5(SHA1)에 의한 문자열입니다. 사용자 개인정보를 취급하는데 있어 DB전체 데이터를 분실한다고 했을때 많은 손실을 받을 수 있습니다. 물론 한개의 비밀번호를 알아내는데 약간의 시간이 필요하지만 그렇다고 해서 못알아내는 것은 아닙니다.

완벽한 보안이 아닌 그나마 차선책으로라도 암호화를 해 저장을 한다면 이러한 방식은 어떻까 합니다. MySQL 내부의 암호화 방식인 AES/DES를 사용해보는것입니다. AES(Advenced Encryption Standard) 는 미국 정부 표준으로 지정이된 블록암호화 알고리즘입니다 PHP 에서도 libmcrypt (mcrypt) 로 지원을 합니다. MySQL 에서는 128bit를 기본적으로 지원을 하고 있습니다.

이제 MySQL 에서 AES(Rijndael)를 사용하는 방법을 알아보겠습니다. 암호화는 암호화/복호화를 하기때문에 키관리가 중요합니다. 저의 생각으로는 암호화에서 키를 사용자에게 맏기는 방법은 어떠한가 생각을 해봅니다. 지금도 그렇지만 예전에도 키 관리는 사용자의 암호를 이용해 키를 관리하는 방식이 좋다고 생각합니다.

일단 예제를 보겠습니다.
MD5 예

-- 사용자 테이블
CREATE TABLE User
(
 seq INT(10) UNSIGNED NOT NULL AUTO_INCREMENT,
 userId CHAR(20) NOT NULL,
 passWd CHAR(32) NOT NULL,
 PRIMARY KEY(`seq`),
 UNIQUE INDEX (`userId`)
)
ENGINE=MyISAM;
-- 사용자 정보 입력

mysql> INSERT INTO User (userId, passWd) VALUES ('lovelgw', MD5('123456'));
Query OK, 1 row affected (0.00 sec)
-- 사용자 로그인

mysql> SELECT * FROM User WHERE userId = 'lovelgw' AND passWd = MD5('123456');
+-----+---------+----------------------------------+
| seq | userId  | passWd                           |
+-----+---------+----------------------------------+
|   1 | lovelgw | e10adc3949ba59abbe56e057f20f883e |
+-----+---------+----------------------------------+
1 row in set (0.00 sec)

이렇게 관리를 하겠죠, 보안상 취약점을 모르시겠다고요? 음. 그렇지 않습니다. DB파일 전체가 노출되거나 또는 내부 직원의 실수등으로 DB전체가 노출이 된상태라면 사용자의 개인정보는 공개 정보가 되는것입니다. 암호화 방식 을 AES로 변경해보겠습니다. 키를 내부적으로 관리하지 않는다는 가정하에 아래와 같이 작성 할 수 있습니다.

AES 예

-- 사용자 테이블
CREATE TABLE User
(
 seq INT(10) UNSIGNED NOT NULL AUTO_INCREMENT,
 userId CHAR(20) NOT NULL,
-- HEX함수를 사용하지 않으려면 필드 타입을 BINARY 로 해주시면 됩니다.
 passWd CHAR(40) NOT NULL,
 PRIMARY KEY(`seq`),
 UNIQUE INDEX (`userId`)
)
ENGINE=MyISAM;
-- 사용자 정보 입력

mysql> INSERT INTO User (userId, passWd) VALUES ('lovelgw', HEX(AES_ENCRYPT('123456', MD5('123456'))));
Query OK, 1 row affected (0.00 sec)
mysql> select * from User;
+-----+---------+----------------------------------+
| seq | userId  | passWd                           |
+-----+---------+----------------------------------+
|   1 | lovelgw | 59B6FF82CD62F195F55DD3A4BB2E1D70 |
+-----+---------+----------------------------------+
1 row in set (0.00 sec)
-- 사용자 로그인 (사용자 정보조회)

mysql> SELECT * FROM User WHERE userId = 'lovelgw' AND AES_DECRYPT(UNHEX(passWd), MD5('123456'));
+-----+---------+----------------------------------+
| seq | userId  | passWd                           |
+-----+---------+----------------------------------+
|   1 | lovelgw | 59B6FF82CD62F195F55DD3A4BB2E1D70 |
+-----+---------+----------------------------------+
1 row in set (0.00 sec)

위와 같이 AES예를 보았습니다. 사용자의 암호가 암호화 방식의 키가 되겠습니다. 평문길이가 약 20Byte정도 일때 암호화 문자열의 길이는 약 32Byte정도 입니다. (암호화 키는 사용자 암호의 MD5이용, AES_ENCRYPT 결과는 HEX함수를 이용했을 경우) 필드 데이터 타입을 바이너리로 정의를 하면 HEX를 사용하지 않아도 됩니다. 하지만 기존 테이블 규칙을 사용한다는 가정하에 위와 같이 적용해보았습니다.

사용자 정보의 암호화를 이용해서 보안에서의 최소안의 피해 및 누출을 막음으로서 더욱 안전하게 관리를 할 수 있습니다.구지 사용자의 암호를 관리적 측면에서 알 필요가 없으니 사용자가 입력한 암호로 사용자의 데이터를 암호화 하는데 사용합니다. 관리적측면에서의 보안적인 편리함이 더욱더 늘어 난것이죠

이제 MD5가 얼마나 위험하고 손쉽게 추적이 가능한지 알아보도록 하겠습니다.

원문 : lovelgw
MD5해시 : 84cefd52366042c03c1bf9e47b1409a1
nVidia GeForce 8500 GT 으로 2분 34초 만에 값을 알아내었습니다.
MD4/MD5/SHA1 GPU Password Recovery v0.62 (http://www.golubev.com/)

X:\>ighashgpu.exe -h:84cefd52366042c03c1bf9e47b1409a1 -t:md5  -hm:0 -max:7
****************************************************************
***          MD4/MD5/SHA1 GPU Password Recovery v0.62        ***
***    For ATI RV 7X0 cards and nVidia 'CUDA' ones (G80+)    ***
***         (c) 2009 Ivan Golubev, 
http://golubev.com        ***
***             see "readme.htm" for more details            ***
****************************************************************
*** Any commercial use of this program is strictly forbidden ***
****************************************************************

Found 1 CUDA device(s)
Starting brute-force attack, Charset Len = 26, Min passlen = 4, Max passlen = 7
Charset (unicode -> 0) [abcdefghijklmnopqrstuvwxyz]
Charset in HEX: 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 77 78 79 7a
Starting from [aaaa]
Hash type: MD5, Hash: 84cefd52366042c03c1bf9e47b1409a1
Device #0: [GeForce 8500 GT] 918.00 Mhz 16 SP
Hardware monitoring disabled.
CURPWD: ghlzlhm DONE: 43.52% ETA: 2m 34s AVRSPD: 29.4M
Found password: [lovelgw], HEX: 6c 6f 76 65 6c 67 77
Processed 3 816 816 640 passwords in 2m 11s.
Thus, 29 339 139 password(s) per second in average.

위 처럼 손쉽게 MD5 해시 값을 쉽게 찾아 낼 수 있습니다. GPU를 이용하는 프로그램이라 더욱 좋은 그래픽 카드가 있다면 더욱 빨리 값을 찾아내겠죠. 만약 DB전체가 노출된 경우라면 비밀번호는 쉽게 알아낼 수 있습니다.

하 지만 위 방식(AES)으로 암호화를 한다면 개인의 데이터의 암호화 한 키가 전부 다르면 데이터가 노출이 된 후 복호화를 시도한다고 하면 매우 오랜 시간이 걸립니다. 약간(?)의 보안성이 더해진것이죠~ DB전체가 노출되더라도 중요한 데이터는 막혀 있는 샘이죠~ 위 방식으로 다양한 활용 및 보안에 더욱더 완벽해 질 수 있는 방법을 찾을 수 있습니다. ^^

 


List of Articles
번호 제목 날짜 조회 수
106 엑셀로 되어있는 부분 db로 import하는 방법 2020.07.28 144
105 실수로 삭제한 mysql DB 복구방법 2017.04.12 7316
104 숫자형 데이터 타입 2016.12.23 5668
103 세자리 마다 콤마 찍기 file 2017.04.12 5879
102 서브쿼리 file 2017.11.16 3444
101 서로 다른 결과를 한줄로 합쳐서 보여줘야 할 때(GROUP_CONCAT) file 2020.07.28 743
100 백업시 캐릭터셋(charset) 지정하기 2017.04.12 5071
99 문자형 데이터 2016.12.23 5646
98 두 테이블을 비교하여 한쪽테이블에는 있지만 다른 테이블에는 없는 값을 뽑아내보자! 2017.11.21 5388
97 데이터베이스별 / 테이블별 용량 확인 하기 2023.01.10 115
96 데이터베이스 파티셔닝이란 2017.12.28 4262
95 데이타베이스 또는 테이블 정보 2016.12.23 5534
94 덤프할때 한글깨짐 해결 2016.12.23 5635
93 다양한 단위의 시간차 구하기 2015.12.19 8360
92 다른 테이블 데이터를 원하는 테이블에 업데이트 시키기 2017.11.16 5076
91 날짜형(DATETIME) 빼기 2021.03.26 147
90 날짜와 시간 데이터 2016.12.23 5996
89 날짜 관련 함수 모음. 2017.12.22 3976
88 각각의 게시판에서 제일 최근글하나씩을 모아 정렬 2016.08.30 5812
87 [MySQL] 세로열을 가로열로 출력하기 2019.03.05 2097
Board Pagination Prev 1 2 3 4 5 6 7 Next
/ 7

하단 정보를 입력할 수 있습니다

© k2s0o1d4e0s2i1g5n. All Rights Reserved