ハッシュ化されたパスワード

ハッシュ化されたパスワード とは、平文のパスワードを推測不能な状態にハッシュアルゴリズムを利用して、ハッシュ値です。人間にとっては、ただのバイト列です。

読み方

概要

ハッシュ化されたパスワード とは、平文のパスワードを推測不能な状態にハッシュアルゴリズムを利用して、ハッシュ値です。人間にとっては、ただのバイト列です。ハッシュ関数は、暗号理論にもとづいて開発された、安全なアルゴリズムを利用すべきです。

ハッシュ化されたパスワード は、ハッシュ値の求め方によって、強度が変わってきます。純粋なハッシュ化だけでハッシュ値(ハッシュ化したパスワード) を求めるのか、ストレッチングを組み込むかによって、強度は変わってきます。

パスワードを平文でデータベースなどのシステムに保存すると、システム管理者は、パスワードを閲覧できます。パスワードが流出した場合、そのまま利用できます。

以下の問題を解決するために、パスワードは、ハッシュ化して保存するのが一般的です。

扱いやすくするために、Base64によるエンコードをされているかもしれません。

パスワードをただハッシュすればいいわけではありません。

単純に MD5 でハッシュ化した場合、どうなるでしょうか？

hash-value = md5 ( clear-text-password )

MD5 は、すでに推奨されません。 GPU を利用して、簡単にパスワードクラックできます(例: ighashgpu)。

上記の手順でハッシュ値を作成する場合、同じパスワードを設定しているユーザが容易にわかってしまいます。それは、同じ平文をハッシュすると、常に同じハッシュ値になるからです。１つのパスワードがわかれば、ほかの同じパスワードを設定しているユーザのパスワードがわかります。

このような手順では、レインボーテーブルを作成することで、より早く、パスワードクラックが可能です。レインボーテーブルとは、あらかじめ作成しておくハッシュ化されたパスワード のリストです。

正しい ハッシュ化されたパスワード の生成は、以下の通りです。