Javaでパスワードを安全にハッシュ化する方法｜平文保存を絶対に避けるための設計と実装の基本

はじめに

Java でログイン機能を作るとき、
一番やってはいけないこと があります。

それは、
パスワードをそのまま保存すること です。

にもかかわらず、

とりあえずハッシュ化している
SHA 系を使っている
仕組みはよく分かっていない

という人はとても多いです。

パスワード管理は、
動けばOKではなく、考え方がすべて です。

この記事では、
Javaでパスワードを安全にハッシュ化する正しい方法 を、
初心者にも分かるように、実務視点で解説します。

パスワードは「暗号化」ではない

まず大前提として、
パスワードは 暗号化ではなくハッシュ化 します。

暗号化は、

復号できる
元に戻せる

仕組みです。

一方、ハッシュ化は、

元に戻せない
同じ入力から同じ結果が出る

という特徴があります。

ログインでは、
「同じかどうか」が分かれば十分です。

だからこそ、
復号できないハッシュ化 を使います。

なぜ普通のハッシュではダメなのか

初心者がやりがちなのが、

SHA 系を一回だけ使う
とにかくハッシュ化すれば安全だと思う

という考え方です。

ですが、これは危険です。

理由は、
計算が速すぎる からです。

攻撃者は、

大量のパスワード候補
高速な計算環境

を使って、
一気に試すことができます。

そのため、
パスワードには あえて遅いハッシュ を使います。

パスワード専用ハッシュを使う

Java で安全にパスワードを扱う場合は、
パスワード専用に設計された方式 を使います。

考え方として大切なのは、

計算が遅い
ソルトが前提
強度を調整できる

という点です。

これらは、
業務システムで長く使われるJavaと相性が良い設計
になっています。

ソルトとは何か

ソルトとは、
パスワードに混ぜるランダムな値 です。

これを使うことで、

同じパスワードでも
毎回違うハッシュ値

になります。

ソルトがないと、

同じパスワードが丸見え
一括攻撃が成立

してしまいます。

安全な方式では、
ソルトは必須 です。

ペッパーという考え方

ペッパーは、
アプリ全体で共通の秘密値 です。

ソルトとの違いは、

ソルト：ユーザーごと
ペッパー：アプリ共通

という点です。

ペッパーは、

ソースコード
環境変数
設定ファイル

など、
データベースとは別の場所 に置きます。

万が一 DB が漏れても、
被害を小さくできます。

コスト調整が重要な理由

パスワードハッシュには、
計算コスト という考え方があります。

これは、

わざと計算を重くする
攻撃を遅くする

ための仕組みです。

ただし、

重すぎるとログインが遅い
サーバーに負荷がかかる

という問題もあります。

そのため、

安全性と使いやすさのバランス
を考える必要があります。

実務でよく使われる実装パターン

実際の現場では、
仕組みを自作しない のが基本です。

理由は、

バグを生みやすい
後から変更しづらい
レビューが通らない

からです。

Java では、
既に安全な仕組みが用意されています。

Spring系での考え方

多くの現場では、
フレームワーク側に処理を任せます。

やることはシンプルです。

登録時：ハッシュ化して保存
ログイン時：一致するか確認

この分離ができていると、
アルゴリズムの変更にも強くなります。

フレームワークなしでも大切な考え方

もし自分で実装する場合でも、
守るべき考え方は同じです。

ソルトは必ず使う
繰り返し回数を調整できる
比較は慎重に行う

「動くからOK」ではなく、
攻撃を前提に考える
ことが大切です。

よくあるNG例

平文で保存する

論外です。
絶対にやってはいけません。

ハッシュを一回だけ

速すぎて危険です。

ソルトを固定する

意味がありません。

自作方式を作る

将来必ず困ります。

データベースには何を保存するのか

基本的には、

ハッシュ化されたパスワード
必要であればソルト

だけを保存します。

元のパスワードは、
一切保存しません。

これは、
Java の堅牢な設計思想とも一致します。

既存システムをどう移行するか

もし既に弱い方式を使っている場合でも、
一気に壊す必要はありません。

よく使われるのが、

ログイン成功時に再ハッシュ
徐々に安全な方式へ移行

というやり方です。

Java は、
こうした段階的改善がしやすい言語です。

Javaで学ぶ意味

Java でパスワード管理を学ぶと、

セキュリティ意識が身につく
設計を考える癖がつく
実務で信頼される

というメリットがあります。

これは、
Java が業務で使われ続ける理由
そのものです。

まずは自己学習から

セキュリティを含めた
Java の考え方を体系的に学びたい人は、
まず

絶対にJavaプログラマーになりたい人へ。
👉 https://amzn.asia/d/3E1CYbv

を読んで、
土台を作るのがおすすめです。

実務や転職を考えているなら

セキュリティ設計に自信がない
自分の実装が正しいか不安
Javaプログラマーとして評価されたい

そんな人には
サイゼントアカデミー がおすすめです。

👉 https://academy.cyzennt.co.jp

コードレビューを通して、
「なぜそれが安全なのか」まで説明できるようになります。

まとめ

Java でパスワードを安全に扱うには、

パスワード専用ハッシュを使う
ソルトとコスト調整を理解する
自作しない

この三点がとても重要です。

セキュリティは、
知っているかどうかで大きな差が出る分野 です。

ぜひ Java を使って、
「安心して任せられる実装」ができるエンジニアを目指してください。