資格認定と資格認定

1.認定とはプレイヤーの身元を確認するプログラム(プレイヤーの身元とパスワードを確認するプログラム)2.ワンウェイハッシュ関数(one-way hash function):元のメッセージを変換することによって暗号化されたメッセージ.  다이제스트(digest)を生成します.元のメッセージ3に復元できません.Salting&Key Stretching:一方向ハッシュ関数の弱点を保護するための2つの一般的な方法4.bcrypt:オープンソース暗号化モジュール(JavaScript、pythonなど多くの言語で使用可能).Salting&Key Stretchingを実用化しやすい典型的なライブラリ5.承認とはユーザがユーザ要求の要求を実行する権利を有するユーザであるか否かを判定するステップ6.JWT(JSON Web Tokens):ユーザー情報を含むJSONデータを暗号化し、クライアントとサーバ間でやり取りする

1.認証

認証を行うには,まずユーザのアイデンティティとパスワードを生成できる機能が必要である.

1）ログインプロセス

가. 유저 아이디와 비번 생성
나. 유저 비번 암호화 해서 DB에 저장
다. 유저 로그인 -> 아이디와 비밀번호 입력
라. 유저가 입력한 비밀번호 암호화 한후 암호화되서 DB에 저정된 유저 비밀번호와 비교
마. 일치하면 로그인 성공
바. 로그인 성공하면 `access token`을 클라이언트에게 전송
사. 유저는 로그인 성공후 다음부터는 `access token`을 첨부해서 request를 서버에 전송함으로써, 매번 로그인 해도 되지 않도록 함

2）ユーザーパスワード暗号化

가. 유저의 비밀번호는 절대 비밀번호 그대로 DB에 저장 하지 않음
나. 유저의 비밀번호는 꼭 암호화 해서 저장
다. 비밀번호 암호에는 단방향 해쉬 함수(one-way hash function)가 일반적으로 쓰임

2. Bcrypt

SaltingとKey Stretchingを実現したハッシュ関数で最も広く用いられているのはbcryptである.
bcryptは,最初からパスワードを一方向に暗号化するために作成されたハッシュ関数である.

1）一方向ハッシュ関数にもいくつかの欠点がある

Rainbow table attack:ハッシュ値を予め計算したテーブルをRainbow tableと呼ぶ

ハッシュ関数は、最初はパスワードを格納するために設計されたものではなく、短時間でデータを取得するために設計されたものである.

これらの属性のため、攻撃者は任意の文字列の要約と攻撃するターゲットの要約

を極めて速い速度で比較することができる.

2)一方向ハッシュ関数の弱点を保護するために,通常2つの方法(構想)を用いる.

가. Salting : 실제 비밀번호 이외에 추가적으로 랜덤 데이터를 더해서 해시값을 계산하는 방법
나. Key Stretching : 방향 해쉬값을 계산 한 후 그 해쉬값을 또 또 해쉬 하고, 또 이를 반복하는 것

3. JWT(JSON Web Tokens)

ユーザーのログインに成功すると、  要求送信時にaccess tokenという暗号化されたユーザ情報が添付される

その後、サーバは  このプレイヤー情報を復号化access token

このプロセスの目的は、ユーザーがログインするたびに

access tokenを生成する方法は様々であり、その中で最も一般的な技術の一つはJWT(JSON Web Tokens)である.

名前の通り、JWTは、ユーザ情報を含むJSONデータを暗号化してクライアントとサーバとの間で交換する.

4.承認（承認）

認証は、ユーザが要求を実行する権利があるかどうかを確認するためのプロセス

である.

認証はJWTでも可能
->access tokenを介してユーザの情報を取得することができるので、ユーザが所有する権限(permission)

を表示することもできる.

承認プロセス

가. Authentication 절차를 통해 access token을 생성
   -> access token에는 유저 정보를 확인할 수 있는 정보가 들어가 있어야 함 (ex. user id).
나. 유저가 request를 보낼때 access token을 첨부해서 보냄
다. 서버에서는 유저가 보낸 access token을 복호화
라. 복호화된 데이터를 통해 user id를 얻음
마. user id를 사용하여 database에서 해당 유저의 권한(permission)을 확인
바. 유저가 충분한 권한을 가지고 있으면 해당 요청을 처리
사. 유저가 권한을 가지고 있지 않으면 Unauthorized Response(401) 혹은 다른 에러 코드를 보냄

<ソース>wecode(コード起動キャンプ)セッション