[java] Apache Shiro의 비밀번호 해시 알고리즘

15 Nov 2023

java

Apache Shiro는 자바 기반의 보안 프레임워크로, 사용자 인증 및 권한 부여를 처리하는 데 도움을 줍니다. 이 프레임워크를 사용하여 비밀번호를 안전하게 저장하기 위해 해시 알고리즘을 사용할 수 있습니다.

해시 알고리즘은 비밀번호를 입력으로 받아 해시 함수를 이용해 고정된 길이의 해시 값으로 변환하는 알고리즘입니다. 이 해시 값을 저장하는 것이 원래 비밀번호를 저장하는 것보다 안전하다고 알려져 있습니다. Apache Shiro는 여러 해시 알고리즘을 지원하며, 각 알고리즘은 다양한 보안 수준과 성능을 제공합니다.

Apache Shiro에서 지원하는 몇 가지 일반적인 해시 알고리즘은 다음과 같습니다.

MD5: 가장 간단한 해시 알고리즘으로, 속도가 빠르지만 보안 수준이 낮습니다. 주로 간단한 애플리케이션에 사용됩니다.
SHA-256: SHA(Secure Hash Algorithm)를 사용하는 해시 알고리즘으로, MD5보다 더 강력한 보안 수준을 제공합니다. 일반적으로 많이 사용되는 알고리즘입니다.
BCrypt: Blowfish 암호화 알고리즘을 사용하는 해시 알고리즘으로, 추가적인 보안 기능을 제공합니다. 해시 값의 길이를 설정할 수 있어 보안 수준과 성능 사이에서 조율할 수 있습니다.

아래는 Apache Shiro를 사용하여 비밀번호를 해시하는 예제 코드입니다.

import org.apache.shiro.crypto.hash.DefaultHashService;
import org.apache.shiro.crypto.hash.Hash;
import org.apache.shiro.crypto.hash.Sha256Hash;
import org.apache.shiro.util.ByteSource;

public class PasswordHashExample {
    public static void main(String[] args) {
        String password = "myPassword123";

        // 해시 서비스 생성
        DefaultHashService hashService = new DefaultHashService();

        // 사용할 해시 알고리즘 설정 (SHA-256)
        hashService.setHashAlgorithmName(Sha256Hash.ALGORITHM_NAME);

        // 비밀번호를 해시하여 해시 값 생성
        Hash hash = hashService.hash(ByteSource.Util.bytes(password));

        // 생성된 해시 값 출력
        System.out.println(hash.toHex());
    }
}

이 예제에서는 DefaultHashService를 사용하여 해시 서비스를 생성하고, Sha256Hash.ALGORITHM_NAME을 사용하여 SHA-256 해시 알고리즘을 설정합니다. 비밀번호는 ByteSource.Util.bytes(password)를 통해 바이트 배열로 변환되어 해시됩니다. 생성된 해시 값은 toHex() 메서드를 사용하여 16진수로 출력됩니다.

Apache Shiro를 사용하여 비밀번호를 안전하게 해시할 수 있으며, 각 알고리즘의 보안 수준과 성능을 고려하여 적절한 해시 알고리즘을 선택해야 합니다.

참고 문서: