scrypt 키 유도 (RFC 7914)

비밀번호와 솔트로 scrypt를 실행하고, 비용 매개변수가 실제로 무엇을 사는지 확인합니다. scrypt는 세 단계입니다. 반복 1회의 PBKDF2-HMAC-SHA256이 비밀번호를 128 × r바이트 블록 p개로 늘리고, ROMix가 그런 블록 N개로 표를 채운 뒤 데이터에 따라 정해지는 순서로 다시 읽으며, 마지막으로 반복 1회의 PBKDF2가 섞인 블록을 솔트로 씁니다. 핵심은 이 표입니다. 한꺼번에 128 × r × N바이트가 필요하므로, PBKDF2나 bcrypt와 달리 공격자가 메모리 대신 코어를 늘리는 식으로 비용을 피할 수 없습니다. 매개변수를 바꾸면 그 크기를 바로 보여 줍니다. N = 2^14, r = 8이면 16 MiB이고, OWASP가 제시한 비밀번호 저장 최소값인 N = 2^17, r = 8, p = 1은 128 MiB입니다. 두 중간 단계도 출력합니다. RFC 7914의 첫 번째 벡터에서는 이 둘이 10절 ROMix 벡터의 입력과 출력 그대로이므로, 모든 단계를 믿는 대신 공개된 숫자와 비교할 수 있습니다. 매개변수 규칙은 RFC 그대로 지킵니다. 의외인 규칙도 하나 있습니다. N은 2^(16 × r)보다 작아야 해서 r = 1이면 최대 2^15이고, OpenSSL은 메모리에 넉넉히 들어가는데도 2^16을 거부합니다. 비밀번호는 UTF-8 바이트로 해시되므로, 눈에 같은 글자라도 유니코드 정규화 형식이 다르면(é를 한 코드포인트로 쓰느냐, e와 결합 악센트로 쓰느냐) 키가 달라집니다. 키 길이는 앞부분을 바꾸지 않습니다. 마지막 PBKDF2가 블록 단위로 출력을 만들기 때문에 32바이트 키는 같은 입력으로 만든 64바이트 키의 앞 절반입니다. 계산은 탭 안에서 하며 주기적으로 제어를 돌려주므로 큰 N도 진행률이 보이고 취소할 수 있습니다. RFC의 네 번째 벡터가 필요로 하는 1024 MiB까지 할당합니다.