パスワードを安全にサーバに保存したい

パスワードを簡単に安全にサーバに保存する方法についてまとめます. 鉄則としてパスワードはサーバにそのまま平文の状態では保存しません. その代わりその元のパスワードを連想できないような別の値に変換した値で保存します. そしてパスワードを照合するときも変換した値同士で比較します. パスワードを変換したもの比較でもその値が一致すれば本人がパスワードを知っているということになるため、問題ありません.

この元のパスワードを連想できないようにしながら別の値に変換する関数をハッシュ関数と呼びます.そしてパスワードをハッシュ関数に入れて得られた出力値をハッシュ値と言います.

つまり、 ・ハッシュ値が一致→ハッシュ関数の入力も一致→パスワードが一致 ・ハッシュ値が一致しない→ハッシュ関数の入力も一致しない→パスワードが一致していない という形で正しいパスワードを送ってきているかを比較しています. このようなハッシュ値の変換をしていいのは、パスワードの生データそれ自体に関して興味がなくあくまで一致するデータをユーザが送ってきて本人と認証できるかどうかしか気にしないためです.他のデータの場合はハッシュ値にしてしまうと元のデータを取り出せません.