피드로 돌아가기
Dev.toSecurity
원문 읽기
MD5 대체 bcrypt 도입으로 Brute-force 방어 및 보안성 강화
Why Cursor Keeps Generating MD5 Password Hashes in 2026
AI 요약
Context
LLM 학습 데이터 내 2008~2014년 사이의 레거시 튜토리얼 비중이 높아 AI가 취약한 MD5 해싱 로직을 반복 생성하는 문제 발생. 빠른 연산 속도로 인해 현대 GPU 환경에서 암호화 무력화가 용이한 CWE-328 취약점 노출 위험 상존.
Technical Solution
- Work Factor 기반의 느린 해싱 알고리즘인 bcrypt 도입을 통한 Brute-force 공격 비용 증대
- bcrypt.gensalt(rounds=12) 설정을 통한 연산 복잡도 제어로 공격자의 무차별 대입 시도 억제
- Node.js 환경의 경우 OWASP 권고 사항인 argon2id 채택을 통한 최신 암호화 표준 준수
- 기존 MD5 해시 데이터를 사용자 로그인 시점에 투명하게 재해싱하는 마이그레이션 전략 적용
- MCP 서버 기반의 SafeWeave 및 semgrep, gitleaks를 활용한 AI 생성 코드의 정적 분석 파이프라인 구축
실천 포인트
- AI 생성 코드 내 md5, sha1 키워드 포함 여부 grep 검사 - 패스워드 저장 시 단순 해시 함수가 아닌 Salt가 포함된 Adaptive Hashing 함수 사용 확인 - pre-commit hook에 semgrep 등 보안 린터 통합하여 배포 전 취약점 필터링