Хранение паролей с Node.js и MongoDB - PullRequest
Новая
       45

Хранение паролей с Node.js и MongoDB

69 голосов
/ 05 августа 2011

Я ищу несколько примеров того, как безопасно хранить пароли и другие конфиденциальные данные, используя node.js и mongodb.

Я хочу, чтобы все использовали уникальную соль, которую я буду хранить вместе с хешем вдокумент монго.

Для аутентификации мне нужно просто засолить и зашифровать ввод и сопоставить его с сохраненным хешем?

Нужно ли мне когда-либо расшифровывать эти данные, и если да, то как мне это сделать?сделать это?

Как закрытые ключи или даже методы соления надежно хранятся на сервере?

Я слышал, что AES и Blowfish - хорошие варианты, что мне использовать?

Любые примеры того, как спроектировать это, были бы чудесно полезны!

Спасибо!

Ответы [ 2 ]

35 голосов
/ 05 августа 2011

Используйте это: https://github.com/ncb000gt/node.bcrypt.js/

bcrypt - один из немногих алгоритмов, ориентированных на этот вариант использования. Вы никогда не сможете расшифровать свои пароли, только убедитесь, что введенный пользователем пароль в виде открытого текста соответствует сохраненному / зашифрованному хешу.

bcrypt очень прост в использовании. Вот фрагмент из моей схемы Mongoose User (в CoffeeScript). Обязательно используйте асинхронные функции, поскольку bycrypt работает медленно (специально). 

class User extends SharedUser
  defaults: _.extend {domainId: null}, SharedUser::defaults

  #Irrelevant bits trimmed...

  password: (cleartext, confirm, callback) ->
    errorInfo = new errors.InvalidData()
    if cleartext != confirm
      errorInfo.message = 'please type the same password twice'
      errorInfo.errors.confirmPassword = 'must match the password'
      return callback errorInfo
    message = min4 cleartext
    if message
      errorInfo.message = message
      errorInfo.errors.password = message
      return callback errorInfo
    self = this
    bcrypt.gen_salt 10, (error, salt)->
      if error
        errorInfo = new errors.InternalError error.message
        return callback errorInfo
      bcrypt.encrypt cleartext, salt, (error, hash)->
        if error
          errorInfo = new errors.InternalError error.message
          return callback errorInfo
        self.attributes.bcryptedPassword = hash
        return callback()

  verifyPassword: (cleartext, callback) ->
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)->
      if error
        return callback(new errors.InternalError(error.message))
      callback null, result

Кроме того, прочитайте эту статью, которая убедит вас в том, что bcrypt является хорошим выбором и поможет вам не стать "здоровым и по-настоящему истощенным".

13 голосов
/ 23 сентября 2012

Это лучший пример, который я встречал на сегодняшний день, использует node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt

...