security - ユーザーIDとして電子メールハッシュを使用することは、匿名性を確保するための良い解決策ですか?

Question

以下に準拠する必要がある「安全な」メッセージング アプリを作成したいとします。

誰かがサーバーデータベースにアクセスできる場合、通常のユーザー名/電子メールを置き換えるために使用するフィールドからユーザーを特定できません。

このソリューションは興味深いようです。

しかし、私は疑問に思います：

• より良い（より安全な）代替手段がある場合
• どのハッシュメカニズムを使用すべきか

Answer 1

あまり。ハッシュは、パスワードなどの秘密情報を隠すのに適しています。通常は非常に簡単に推測/グーグル検索される電子メールアドレスなどの情報について、攻撃者は電子メールアドレスのデータベース用にハッシュの膨大なリストを簡単に事前に生成し、逆引きを使用して特定のハッシュ (システム上で) は、データベース内のアドレスの 1 つと一致します。これは、ハッシュが一意ではないという事実を脇に置いています。これは、十分な大きさのハッシュ アドレス空間ではおそらく問題にはなりません。

通常、匿名 ID が必要な場合は、ランダムに生成された ID を使用する必要があります。