[mack-erel]

요약

새 앱 비밀번호를 128비트 이상으로 만듭니다. 서버가 만든 무작위 비밀(새 앱 비밀번호·자체 발급 토큰)은 sha256$로 저장해서, 로그인할 때 해시값으로 바로 찾습니다. 회원 공통 수치 반영 계획의 P3입니다. 마이그레이션은 없습니다.

⚠ #52(P2) 위에 쌓은 PR입니다. base는 password-policy입니다. #52가 머지되면 base를 main으로 바꾸겠습니다.

왜

• 메일 프로토콜은 앱 비밀번호로 로그인하는 쪽으로 갑니다(공통 수치 결정 1-2). 그런데 앱 비밀번호가 소문자 16자(약 75비트)라 기준(128비트 이상 CSPRNG)에 못 미쳤습니다.
• 앱 비밀번호가 사람이 고른 비밀번호와 같은 scrypt로 저장됐습니다. 그래서 로그인할 때마다 계정의 자격증명 전부에 scrypt를 돌렸습니다. 기본 비밀번호 해시를 강화하면(P4) 이 비용이 그대로 곱해집니다.

바뀐 것

• 새 앱 비밀번호: 소문자 28자이고, 4자씩 7묶음으로 보여 줍니다(log2(26^28) ≈ 131.6비트). 발급 때 한 번만 보이는 점, 여러 개 발급, 개별 철회, 마지막 사용 시각은 그대로입니다.
• sha256$<hex> 저장과 바로 찾기:
  • 로그인할 때 해시값으로 바로 찾으므로 scrypt를 돌지 않습니다.
  • 빠른 경로가 받는 kind는 앱 비밀번호와 토큰뿐입니다(허용 목록).
  • 표면 제한과 마지막 사용 시각은 빠른 경로에서도 똑같이 지킵니다.
• 서버 키(HMAC)는 쓰지 않습니다:
  • 결정은 "HMAC + 서버 키 등"을 예로 들었지만, 131비트 무작위 값에서는 키가 더하는 안전이 거의 없습니다.
  • 반대로 마스터 키에 묶이면, 키가 없거나 바뀔 때 모든 앱 비밀번호가 한꺼번에 무효가 됩니다(메일 앱이 전부 멈춥니다).
  • 리뷰어도 이 판단이 이 코드베이스에 맞다고 확인했습니다.
• 예전 16자 앱 비밀번호·토큰(scrypt 저장)은 계속 받습니다. 이 창의 결정 B(재발급을 권하되 강제하지 않음)를 따랐습니다.
• 계정 열거 방지: 예전 형식 자격증명이 없는 계정도 실패할 때 scrypt 1회 비용을 태웁니다. 그래야 응답 시간으로 계정이 있는지 드러나지 않습니다.

검증

• npm run verify 통과(테스트 2750개).
• 새 테스트 항목:
  • 생성 형식과 엔트로피
  • sha256$ 저장 형식
  • 하이픈·공백·대문자를 섞어 입력해도 로그인되는지
  • 표면 제한이 지켜지는지
  • 예전 16자 앱 비밀번호가 계속 되는지
  • 토큰을 바로 찾는지, 정규화한 토큰은 거부되는지
• 독립 리뷰: CRITICAL·HIGH 없음. MEDIUM 1건(롤백 주의 문서)과 LOW 5건을 반영했습니다.

배포 영향

• 마이그레이션은 없습니다(형식이 자기서술형).
• ⚠ 롤백 주의: 이 릴리즈 뒤에 발급한 앱 비밀번호·토큰은 이전 릴리즈에서 로그인되지 않습니다. OPERATIONS에 적어 두었습니다.

🤖 Generated with Claude Code