Node.js Passwort Hashing Bcrypt Alternative mit Crypto

Question

Ich bin tatsächlich mit bcrypt Modul Hash und vergleichen Hash-Passwörter.

Was ich tun möchte, ist das bcrypt Modul zu entfernen und verwenden Sie die Standardbibliothek crypto sowohl zum Hashing und Vergleichen von Kennwörtern.

Ist das möglich?

Wird dies weniger sicher sein als mit node-bcrypt?

Haben Sie ein Beispiel/tutorial/doc/link, wie Sie vorgehen?

oder Beispiel i wie dieses eigentlich so mache:

bcrypt.hash(string,secret_key) 
bcrypt.compare(string,string,secret_key); 

ich möchte nur diese mit Krypto replizieren, wenn möglich:

crypto.hash(string,secret_key) 
    crypto.compare(string,string,secret_key); 

Answer 1

Sie Hash kann PBKDF2 aus der Krypto-Bibliothek:

crypto.pbkdf2(password, salt, iterations, keylen, digest, callback) 

Beispielimplementierung:

const crypto = require('crypto'); 
crypto.pbkdf2('secret', 'salt', 100000, 512, 'sha512', (err, derivedKey) => { 
    if (err) throw err; 
    console.log(derivedKey.toString('hex')); // '3745e48...aa39b34' 
}); 

hier geht die Referenz: https://nodejs.org/api/crypto.html#crypto_crypto_pbkdf2_password_salt_iterations_keylen_digest_callback

Es verwendet HMAC-Digest-Algorithmus wie sha512 einen Schlüssel gegebener Länge aus dem angegebenen Passwort, Salz und Iterationen abzuleiten. Pbkdf2 hat ähnliche Langsamkeitsmerkmale wie bcrypt. Mit PBKDF2, bcrypt oder scrypt kann der Angreifer nur einige tausend Versuche pro Sekunde (oder weniger, je nach Konfiguration) machen.

Answer 2

bcrypt wird sicherer als Krypto, einfach weil es ist langsamer. hier sind ich jedoch einige Passwort-Funktionen schrieb in Coffeescript Krypto mit (I kommen Sie mit den create_password Teile mit einem '$', werden Sie, dass die Spaltung in check_password sehen):

create_password = function(passwd, method, salt) { 
    var hmac; 
    method || (method = "sha1"); 
    salt || (salt = crypto.randomBytes(6).toString('base64')); 
    hmac = crypto.createHmac(method, salt); 
    hmac.end(passwd); 
    return { 
     hash: hmac.read().toString('hex'), 
     salt: salt, 
     method: method 
    }; 
    }; 

    check_password = function(hashed, passwd) { 
    var hash, hashp, method, salt, _ref; 
    _ref = hashed.split("$"), method = _ref[0], salt = _ref[1], hashp = _ref[2]; 
    hash = create_password(passwd, method, salt).hash; 
    return hash === hashp; 
    }; 

Beispiel Nutzung:

passwd = "SOME STRING HERE" 
hash_parts = create_password(passwd) 
hashed = pwd_parts.method + "$" + pwd_parts.salt + "$" + pwd_parts.hash 
check_password(hashed, passwd) 

Answer 3

Eine Alternative die bcryptjs. Das Konzept ist das gleiche wie bcrypt, aber keine Abhängigkeiten und kompatibel zu bcrypt.

https://github.com/dcodeIO/bcrypt.js

https://www.npmjs.com/package/bcryptjs