javascript - servidor - Almacenamiento de contraseñas con Node.js y MongoDB

node js pdf 2017

Question

Estoy buscando algunos ejemplos de cómo almacenar de forma segura contraseñas y otros datos confidenciales utilizando node.js y mongodb.

Quiero que todo use una sal única que almacenaré junto con el hash en el documento mongo.

Para la autenticación, ¿debo sal y encriptar la entrada y hacerla coincidir con un hash almacenado?

¿Debo alguna vez necesitar descifrar esta información y, de ser así, cómo debería hacerlo?

¿Cómo se almacenan de forma segura las claves privadas, o incluso los métodos de salazón en el servidor?

Escuché que AES y Blowfish son buenas opciones, ¿qué debo usar?

¡Cualquier ejemplo de cómo diseñar esto sería maravillosamente útil!

¡Gracias!

Answer 1

Este es el mejor ejemplo que he encontrado hasta la fecha, utiliza node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt

Answer 2

Use esto: https://github.com/ncb000gt/node.bcrypt.js/

bcrypt es uno de los pocos algoritmos enfocados en este caso de uso. Nunca debería poder descifrar sus contraseñas, solo verificar que una contraseña de texto claro introducida por el usuario coincida con el hash almacenado / encriptado.

bcrypt es muy fácil de usar. Aquí hay un fragmento de mi esquema de Mongoose User (en CoffeeScript). Asegúrese de utilizar las funciones asíncronas ya que bycrypt es lento (a propósito).

class User extends SharedUser
  defaults: _.extend {domainId: null}, SharedUser::defaults

  #Irrelevant bits trimmed...

  password: (cleartext, confirm, callback) ->
    errorInfo = new errors.InvalidData()
    if cleartext != confirm
      errorInfo.message = ''please type the same password twice''
      errorInfo.errors.confirmPassword = ''must match the password''
      return callback errorInfo
    message = min4 cleartext
    if message
      errorInfo.message = message
      errorInfo.errors.password = message
      return callback errorInfo
    self = this
    bcrypt.gen_salt 10, (error, salt)->
      if error
        errorInfo = new errors.InternalError error.message
        return callback errorInfo
      bcrypt.encrypt cleartext, salt, (error, hash)->
        if error
          errorInfo = new errors.InternalError error.message
          return callback errorInfo
        self.attributes.bcryptedPassword = hash
        return callback()

  verifyPassword: (cleartext, callback) ->
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)->
      if error
        return callback(new errors.InternalError(error.message))
      callback null, result

Además, lea este artículo, que debe convencerlo de que bcrypt es una buena opción y lo ayudará a evitar convertirse en "realmente eficaz".