salt를 실무에서 사용할때 항상 randomBytes로 만들어줘야 하나요?

Question

안녕하세요 제로초님. randomBytes를 사용한뒤 버퍼로 base64 문자열을 랜덤하게 만들고, 해당 값을 salt로 이용하는것까지는 이해를 했습니다. 실제 비밀번호를 입력받아서 pbkdf2로 비밀번호로 넘어온 문자열을 암호화 하고 DB의  암호화된 값과 비교를 하는 것으로 이해했는데, 그때마다 randomBytes를 이용해서 salt를 만들게 되면 salt값이 비밀번호 확인 요청시마다 달라지게 되므로 interation결과도 달라지게 되지 않나요? 그렇다면 제 생각에 강의에서 나온 내용인 'salt는 암호화된 비밀번호화 같이 저장한다'라고 하는 내용은 randomBytes는 로컬에서 한번 시행을 시켜서 salt를 만들고 따로 env파일이나 안전하게 저장한 뒤에 백엔드에서는 해당 저장된 salt와 pbkbf2를 이용해서 비교를 하면 된다는 말씀이신지 궁금합니다. ~ ㅎ

제로초(조현영) · Answer

네 랜덤바이트는 처음에만 한 번 호출하고 salt는 비밀번호랑 같이 저장해야 합니다.