제가 사용하는 소스 인데... 한번 비교해 봐야 겠네요.

제가 사용하는 소스인데 시간되면 한번 비교를 해 봐야 겠네요. 파일 첨부가 안되서... 보기 싫음 삭제 할께요.

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.SecureRandom;
import java.util.Base64;

/**
 * SHA256 암호화 
 * @author jeongdae
 *
 */
public class SHA256 {

	private final static int ITERATION_NUMBER = 1000;

	/**
	 * 비밀번호 생성
	 * @param password 평문 비밀번호
	 * @param salt
	 * @return
	 * @throws Exception
	 */
	public static String getPassword(String password, String salt) {
		String encriptPassword = "";
		try {
			MessageDigest digest = MessageDigest.getInstance("SHA-256");
			digest.reset();
			digest.update(salt.getBytes());
			byte[] input = digest.digest(password.getBytes("UTF-8"));
			for (int i = 0; i < ITERATION_NUMBER; i++) {
				digest.reset();
				input = digest.digest(input);
			}
			
			encriptPassword =  new String(Base64.getEncoder().encode(input));
		} catch(Exception e) {
			e.printStackTrace();
		}
		return encriptPassword;
	}
	
	/**
	 * SALT 생성
	 * @return
	 * @throws NoSuchAlgorithmException
	 */
	public static String getSalt() {
		String value = "";
		try {
			SecureRandom secureRandom = SecureRandom.getInstance("SHA1PRNG");
			// Salt generation 128 bits long
			byte[] salt = new byte[16];
			secureRandom.nextBytes(salt);
			byte[] encoded = Base64.getEncoder().encode(salt);
			return new String(encoded);
		} catch(Exception e) {
			e.printStackTrace();
		}
		return value;
	}
	
	/**
	 * 평문 비밀번호를 SHA256(평문비밀번호 + salt) 로 암호화 한 후 DB에서 가져온 암호화된 값이랑 일치 여부를 비교
	 * @param password
	 * @param dbEncriptPassword
	 * @param dbSalt
	 * @return
	 */
	public static boolean isEquaslPassword(String password, String dbEncriptPassword, String dbSalt ) {
		String encriptPassword = getPassword(password, dbSalt);
		if(encriptPassword.equals(dbEncriptPassword)) {
			return true;
		} else {
			return false;
		}
	}
	
	/**
	 * 입력 받은 알고리즘 방식에 따른 해시값을 생성
	 * @param seedKey
	 * @param hmac
	 * @return
	 */
	public static byte[] hash(byte[] seedKey, String hmac) {
		String security = null;
		if("HmacSHA1".equals(hmac)) {
			security = "SHA1";
		} else if("HmacSHA256".equals(hmac)) {
			security = "SHA-256";
		} else if("HmacSHA512".equals(hmac)) {
			security = "SHA-512";
		}
		
		try {
			MessageDigest messageDigest = MessageDigest.getInstance(security);
			return messageDigest.digest(seedKey);
		} catch(Exception e) {
			e.printStackTrace();
			return seedKey;
		}
	}
}

@gt1000 올려주신 소스는 SHA256 을 사용하는 패스워드 암호화인 것 같네요. 올라온 글은 기존에 SHA256 을 사용하고 있는 경우, 어떤식으로 새로운 패스워드를 Bcrypt 로 변경하는지에 대해 나와있는 내용이어서 조금 다른내용이 아닐까 싶네요.

기본적으로 해시된 데이터는 원본데이터로 다시 돌려놓을 수 없기 때문에 패스워드 암호화 방식을 변경하는 건 조금 번거로운 작업이더라구요. SHA256 > BCrypt 는 아니지만 예전에 암호화 방식을 별도 컬럼으로 추가하여 관리하기도 했던 경험이 있습니다. 만약 특정시간동안 Update 나 Insert 를 막을 수 있다면... 패스워드의 최근변경일을 기준으로 암호화 방식을 판단할수도 있겠네요.

정말 큰 도움 되었습니다. 감사합니다!