NodeJS 에서 Bcrypt 를 활용한 비밀번호 해시 및 암호화

NodeJS 에서 BCrypt 를 사용하여 비밀번호를 안전하게 해시 암호화하고 비교함으로써 로그인 시스템을 구현할 수 있다.

먼저 작업 디렉터리 내에 bcrypt를 설치한다.

npm install bcrypt

bcrypt를 임포트하여, hash, compare 을 사용하면 된다.

import bcrypt from "bcrypt" const hash = await bcrypt.hash(password, intensity); const result = await bcrypt.compare(password, hash); if(result){ ... }

위 코드에서 intensity 부분은, saltOrRounds 를 입력하는 공간인데 bcrypt 는 해시의 수준을 높이기 위해서 강도 정도를 지정할 수 있다. 강도 값이 높을수록 해시 연산이 오래걸려 무작위 공격으로부터 안전해진다. 하지만 사용자가 로그인하거나 엑세스할 때 마다 해시가 진행되기 때문에 적당한 값을 지정해야 한다.

비밀번호를 해시화하면 고유한 문자열이 생성되는데, 이 값을 해시 값이라고 부른다. 물론 순정 해시 값은 아니다. bcrypt 가 어떤 적절한 처리를 통해 생성된 강력한 해시라고 보면된다.

이 해시는 어떠한 방법을 동원해도 원본으로 복원할 수는 없다. 따라서 사용자가 로그인하는 비밀번호가 맞는지 확인하기 위해서는 저장된 해시와 사용자가 로그인 당시 입력한 비밀번호를 다시 해시하여 동일한지 확인하는 방법으로 암호 처리가 진행된다.

다만 대부분의 로그인용 해시 함수들은 대부분 salt 기법을 사용하기 때문에 동일한 항상 다른 결과가 도출된다. 따라서 단순히 해시를 해서 비교하는 것이 아니라, salt 값을 가져와 다시 고유한 알고리즘대로 해시를 진행해 비교해야 한다.

이 같은 번거로움을 덜기 위해서 bcrypt 에서는 compare 기능을 제공한다.

const result = await bcrypt.compare(password, hash);

첫 번째 인자에는 새로 들어온 암호화하지 않은 비밀번호, 두 번째 인자에는 기존 저장된 해시 값을 넣으면 두 키가 동일한지 비교해준다. 이 결과로 패스워드가 동일한지 판단하면 된다.