deviseはパスワードをどのように安全に保管しているか？

3行まとめ Deviseはソルトとハッシュ値をDBに保存している。 pepper(Secret Salt)値はデフォルトでは使われていない。安全性を上げたければ追加したほうが良い。 Deviseを使っていればとりあえず安全そう。 きっかけ pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 Ruby on Railsで広く使われているDeviseはどのようにパスワードを安全に保管しているのかを確認してみます。 背景 Deviseは、1億6000万以上のダウンロードを誇るRails向けの認証ミドルウェアです。 暗号化操作のほとんどが抽象化されているため裏で何が起こっているかを知らないで使っている場合がほとんどです。 Deviseにおいて、パスワードが保存されているストレージのカラム名は encr