カード番号をSalt無しのSHA256でトークン化するのがどのくらい危険か試してみた

はじめに 後輩から実データからトークンキーを生成するの「SHA256とかでハッシュ化でも良いですか？」と聞かれたので「少なくともSaltは必須だね」的な話をしたところ「Saltは（短い可能性があるから）パスワードとかには使うイメージだったけど元データがそれなりに長ければ要らないと思ってました」的な話題になりました。 十分な時間を掛ければ解けるのでもちろんダメなのですが、そういえば十分な時間ってどのくらいだろうと思いちょっと試してみました。 そこそこ長くて識別子に使われる可能性がある番号だとクレジットカード番号が16桁で良い感じなので試してみました。 クレジットカード番号は何通り？ 16桁で0-9の値ですが数字なので先頭に0はおけませんから以下のような式になります。 その数なんと9000兆通り！ 果たしてこれは計算しきれるのでしょうか？ ちなみに実際にはクレジットカード番号には下記のように取

[bayaread]

ちゃんと理解して質問する後輩もえらいし、慣習で終わらせず検証してくれる先輩もえらい！とてもよい

[kotaponx]

頭6桁はIINで、極めて有効値がすくないし、下1桁はチェックディジット。

[letsspeak]

最後がチェックディジットなのでさらに1/10なのではー

[t_f_m]

"つまり、すでに誰かが解いたものがこの世に辞書として存在しています。そのため実際の判定は一瞬ですむ" / "組み合わせの少ない値をソルト無しで使うのはセキュリティとして成り立ってないと言えるでしょう"

[shinp]

チェックデジット無しとしても1レコード50bitとして45PB必要なので辞書化は実質無理なのでは？　はっ、HDDマイニング…？

[umai_bow]

なんか燃えそう

[uva]

パスワードハッシュが流出した場合ってsaltも一緒に含まれてるから短いパスワードだったらコストをかければ解けちゃうんだろうなぁ

[kinushu]

“トークンキー”