【資安議題】網站中的帳號密碼安全嗎？hash不可逆加密｜天矽科技網頁設計

帳號密碼與資安

　我們都知道，要在網站中建立資料，都會先設定一組帳號密碼，才能將必要的資料記錄在網站中，並達到輕鬆的登入及編輯資料。

　如今資安意識普及，企業網站有義務保護好每一組帳號密碼及每一個客戶的個人資料，以避免資料外洩與個資盜用，但是企業網站要怎麼保護好這些帳號密碼？

　也許有些人會認為「只是」一組帳號密碼，被盜了，只要發通知給我、再去更改密碼就好了，但是事情可不是這麼簡單！我們很多人為了方便記憶，都會使用同一組帳號和同一組密碼，設定在不同的網站與社群軟體上，比如Google的帳號密碼，很可能就跟你的Facebook、Twitter或是某個購物網站的帳號密碼是同一組，那麼…一組帳號密碼被知道了，也就等於其他帳號也都一起被盜了。

　在過去，帳號密碼通常會直接以明碼的方式儲存在資料庫中，只要駭客想辦法得到資料庫，帳號密碼就會遭到外洩，比如我儲存在資料庫的密碼是tsg1234，那麼資料庫顯示的就一樣是tsg1234。

　因此，如果密碼在儲存到資料庫之前，有使用「不可逆的加密方式」進行加密的話，就算資料庫被駭客取得，他所得到的資料也會是加密過後的狀態，根本無法使用，比如我儲存在資料庫的密碼是tsg1234，那麼加密過後就會變成SlsKLfa1EYDPUKRw7oq4btBQNcD8HCvd這種樣子，而不可逆加密就是沒有辦法將加密過後的狀態回推變回tsg1234。

不可逆的加密方式

　加密是什麼？加密就是將明文資訊改變為難以讀取的密文內容，使之不可讀的過程。而加密與解密是成對的，通常可以加密就可以解密、知道密文跟密鑰，就可以知道明文，但hash不是，它是一種不可逆的加密方式，簡單來說，你知道hash的演算法和結果，但卻沒有辦法回推原本輸入的明文是什麼。

　客戶註冊帳號密碼，系統會將hash過後的密碼紀錄進資料庫，之後當客戶登入密碼，系統會把輸入的密碼hash過，再跟資料庫比對，如此系統就知道密碼是不是正確的了。所以就算駭客偷走資料庫，他也沒有辦法回推原本的密碼之明碼，如此就無法使用了。

　這個hash加密方式，也是最常見的密碼儲存機制，像我們天矽科技也是使用此加密方式，提升資訊安全的保護性。