シリアルコードを生成したい

Question

ご覧いただきありがとうございます。

現在自分は、ダウンロード商品の製品登録の際のシリアルコード生成するプログラムを作りたいと思っております。
しかし、(当たり前ですが)製品のIDをそのままシリアルコードにすれば連番となり、適当に入力すれば当てられてしまうので、
それを避けるためにランダムな値を生成したいと思っております。
idのみでハッシュを生成すると、それも方式が分かれば解かれると思うので、
'任意の文字列'+'商品id'からハッシュ値を作りたいと思っています。

要件としては、
・(長すぎると入力が大変なので)32桁か16桁
で生成しようかなと思っています。

その条件でアルゴリズムを調べたのですが、複数ありどれを採用すべきか迷いました。

この場合、どのようなアルゴリズムを用いるのが適当ですか？
また、そもそもこのような用途でハッシュ値を用いるのは適当でしょうか？

よろしくお願い致します。

Answer 1

ダウンロード商品の製品登録

オンライン登録ならワンタイム作って認証すれば良いだけでは？

idのみでハッシュを生成すると、それも方式が分かれば解かれると思うので、

それって塩無しハッシュにするって意味ですよね、それはやめましょう

その条件でアルゴリズムを調べたのですが、複数ありどれを採用すべきか迷いました。
この場合、どのようなアルゴリズムを用いるのが適当ですか？

それだけ調べたなら特徴分かっているはずなので、迷っている理由が質問に書いてある通り長さだけだと仮定するとお好みの長さにすると良いかと

結局のところオンライン登録でないなら総当たりとかできます

また、そもそもこのような用途でハッシュ値を用いるのは適当でしょうか？

最初に挙げたワンタイム発行でもハッシュは使うのはおかしい事ではありません

Comments

[shugo]

回答ありがとうございます。
ハッシュにおけるソルトをしりませんでした。
ソルトを使用して、シリアルコードを生成しようと思います。
為になりました！

また総当りを少しでも免れるため、
シリアルコードの入力からレジストレーションコードを発行して、それで本登録しようとおもいましました。

> オンライン登録でないなら総当たりとかできます
オンライン登録ならば対策が講じられるということでしょうか？
コード入力の試行回数制限などでしょうか？

[hentaiman]

> ハッシュにおけるソルトをしりませんでした。
ソルトの必要性知る為にレインボーテーブルで検索するといいかもしれません

> コード入力の試行回数制限などでしょうか？
そうですね、時間当たりの試行回数で制限。
ハッシュのみでリトライ制限しようとするとIPでの判断になりますけど、
IDとハッシュのセットならID単位で制限出来るので簡単かなと。
ユーザーに入力させないでも製品起動時に一時的なID生成してハッシュ送信時に併せて投げる仕様でもいいし

[shugo]

なるほど！
丁度ログインしている前提でしたので、ID単位で制限してみたいと思います。
ありがとうございます。

Answer 2

ランダムに発行する、んじゃなくて、連番でいいので、チェックコードを付けるようにします
その番号をなんらかの演算すると本物か偽物かを区別できるようにしときます

Comments

[shugo]

ありがとうございます。
演算を秘密にすることで、コードをさとられないようにする感じでしょうか？

[y_waiwai]

まあそういうことですね。
あとは連番と悟られないように数字を入れ替えるとかアルファベットに置換するとかいろいろ手はあると思います

[shugo]

ありがとうございます。対策を色々と考えてみたいと思います。
為になりました。