비밀번호 저장과 데이터 암호화 - bcrypt부터 AES-GCM까지

// [위험] SHA-256으로 비밀번호 저장
var hash = SHA256.HashData(Encoding.UTF8.GetBytes(password));
 
// [위험] MD5로 비밀번호 저장
var hash = MD5.HashData(Encoding.UTF8.GetBytes(password));
 
// [위험] AES로 비밀번호 암호화
var encrypted = Aes.Encrypt(password, key);

// 해시 생성 (workFactor가 높을수록 느림)
var hash = BCrypt.Net.BCrypt.HashPassword(password, workFactor: 12);
 
// 검증
var isValid = BCrypt.Net.BCrypt.Verify(inputPassword, storedHash);

using Konscious.Security.Cryptography;
 
var argon2 = new Argon2id(Encoding.UTF8.GetBytes(password))
{
    Salt = salt,
    DegreeOfParallelism = 4,
    MemorySize = 65536,  // 64MB
    Iterations = 3
};
 
var hash = argon2.GetBytes(32);

using System.Security.Cryptography;
 
public static (byte[] ciphertext, byte[] tag, byte[] nonce) Encrypt(
    byte[] plaintext, byte[] key)
{
    var nonce = new byte[12];
    RandomNumberGenerator.Fill(nonce);
    
    var ciphertext = new byte[plaintext.Length];
    var tag = new byte[16];
    
    using var aes = new AesGcm(key, 16);
    aes.Encrypt(nonce, plaintext, ciphertext, tag);
    
    return (ciphertext, tag, nonce);
}
 
public static byte[] Decrypt(
    byte[] ciphertext, byte[] key, byte[] nonce, byte[] tag)
{
    var plaintext = new byte[ciphertext.Length];
    
    using var aes = new AesGcm(key, 16);
    aes.Decrypt(nonce, ciphertext, tag, plaintext);
    
    return plaintext;
}

// [지양] 코드 하드코딩
private const string Key = "my-super-secret-key-123";
 
// [지양] 설정 파일에 평문 저장
{
  "EncryptionKey": "my-super-secret-key-123"
}
 
// [지양] 환경 변수에 평문 노출 (로그에 찍힐 우려)

var kmsClient = new AmazonKeyManagementServiceClient();
 
var response = await kmsClient.GenerateDataKeyAsync(new GenerateDataKeyRequest
{
    KeyId = "alias/my-master-key",
    KeySpec = DataKeySpec.AES_256
});
 
var plaintextKey = response.Plaintext;      // 암호화에 사용
var encryptedKey = response.CiphertextBlob; // 저장용