電話番号をハッシュする意味は何ですか？

Question

一部のサービス（ProtonMailなど）は、電話番号自体ではなくハッシュ電話番号を保存すると主張します（ただし、どのようにハッシュするかについては述べていません）。これで、有効な可能性のある電話番号の数が非常に少ない（8桁の電話番号で約26ビットの情報に相当）ことを考えると、ハッシュから電話番号を復元するのは非常に簡単です。

それで、ポイントは何ですか？

Benoit Esnard · Accepted Answer

ProtonMailは、人間のチェックを実行するために電話番号を要求する場合があります。

ProtonMailは、複数のアカウントを作成しようとしていることを検出しました。
SMS経由でトークンを送信するために、電話番号を要求します。
そのトークンをProtonMailに送信して、自分が電話番号の所有者であることを証明する必要があります。

そうすれば、ProtonMailはあなたの電話番号を必要としなくなりますが、スパマーが複数のアカウントを作成するのを防ぐためにそれを使用する必要があります。

電話番号をハッシュすると、元の番号を保存せず、誰かが同じ番号を2回使用するのを防ぐことができます。

から彼らのFAQ ：

ただし、同じ電話番号を使用すると、同じ暗号化ハッシュが取得されるため、ハッシュを比較することで、人間の確認のために電話番号またはメールアドレスの再利用を検出できます。

したがって、ProtonMailは独自のソルトを使用していないようです。

Bart Butlerからのツイート（ProtonMail CTO）のおかげで、次のことがわかります。

ProtonMailは定期的に保存されたハッシュをフラッシュします。
保存されたハッシュはどのアカウントにもリンクされていません。

バート・バトラーもツイートした：

遅いパスワードハッシュ（ソルトを使用）を使用して、リストをフラッシュし、不規則な間隔でソルトをローテーションします。

結論として、それらを総当たりにすることは可能ですが、それは実用的でも有用でもありません。

ryanyuyu · Answer

ハッシュは、典型的なハッシュ設定ほど安全ではない場合でも、間接マップとして役立ちます。最大の利点の1つは、純粋に社会的なものです。ハッシュ（弱いハッシュであっても）は、何を表示できるかについて従業員に明確な線を引きます。実際の電話番号を表示するための障壁を設けることは、正直な人々を正直に保つに役立ちます。

ハッシュから電話番号を復元するのは非常に簡単です

Easyは相対的な用語です。確かに、このハッシュ設定は、ハッシュクラッキングを実行する意思のある攻撃者に対してはあまり役に立ちません。しかし、データにアクセスできる他の99％の従業員も考慮しなければなりません。データにアクセスできるのは、実際のハッシュが何であるかさえ知らない場合です。

Tom K. · Answer

ポイントは、それらを平文で保存しないことです。

それはおそらくほとんどそれです。 D.W.として彼のコメントで指摘されたように、ブノワの答えはその理由を伝えますなぜ彼らは電話番号を保存し、それ彼らはそれらをハッシュします。 ProtonMailはあなたに教えませんなぜ彼らはそれらをハッシュします。 ProtonMailの従業員が正確な理由を教えてくれるまで、私たち全員がこれについて推測することしかできません。

最も可能性の高い理由は（私の意見では）次のとおりです：

ProtonMailは、ビジネスモデル全体が安全な製品に基づいており、顧客のプライバシーを保護する会社です。彼らがあなたに電話番号を平文で保存したと言ったら、それはかなり奇妙でしょう。それらのハッシュはその点ではるかに理にかなっていると思いませんか？
その一方で、ProtonMailは電話番号のハッシュをユーザープロファイルにリンクしません。ハッシュを定期的にフラッシュし、あなたが言ったように、電話番号から得るものはあまりありません。

電話番号をハッシュする彼らがそれらを保存する必要がある場合は、ハッシュしないよりも優れています。それが彼らがそれをする理由です。
セキュリティを大幅に強化しますか？番号。
プレーンテキストで保存するよりも良いですか？はい。

allo · Answer

ハッシュされた電話番号を保存する理由は2つあります。1つは有用で、もう1つはそうではありません。

1）ユーザーの確認を許可します。ここでは、ソルト処理された低速ハッシュが役立ちます。電話番号を総当たりにすることはパスワードよりも高速ですが、それでもセキュリティが強化されます。

2）より安全な検索を提供するふりをする（つまり、whatsapp競合他社のいくつかで）。ここでは、電話番号を知っているだけではハッシュを検索できないため、ハッシュをソルトすることはできません。これは、無塩ハッシュの検索スペースが非常に小さいため、レインボーテーブルを簡単に作成できることを意味します。

1）は、データベースがある場合でも、存在を簡単に証明できることに注意してください。データベースで使用されているすべてのソルトを使用して電話番号をハッシュし、調べます。そこに保管されていれば、あなたはそれを見つけるでしょう。