Node.js ve MongoDB ile şifrelerin saklanması

Question

node.js ve mongodb kullanarak şifreleri ve diğer hassas verileri güvenli bir şekilde nasıl saklayacağınıza dair bazı örnekler arıyorum.

Herşeyin mongo belgesinde karma saklayacağım benzersiz bir tuz kullanmasını istiyorum.

Doğrulama için girdiyi tuzlamanız ve şifrelemek ve depolanmış bir hash ile eşleştirmek zorunda mıyım?

Bu verilerin şifresini çözmem gerekir mi? Öyleyse nasıl yapmalıyım?

Sunucuda özel anahtarlar, hatta tuzlama yöntemleri nasıl güvenli bir şekilde depolanır?

AES ve Blowfish'in iyi bir seçenek olduğunu duydum, ne kullanmalıyım?

Bunu nasıl tasarlayacağınıza dair her şey harika bir şekilde yardımcı olabilir!

Teşekkürler!

Answer 1

bunu kullanın: https://github.com/ncb000gt/node.bcrypt.js/

bcrypt bu kullanım şeklini odaklanmış birkaç algoritmalardan biridir. Şifrelerinizin şifresini asla çözemezsiniz, sadece kullanıcı tarafından girilen bir cleartext şifresinin saklanan/şifreli karma ile eşleştiğini doğrulamamalısınız.

bcrypt kullanımı oldukça kolaydır. İşte Mongoose Kullanıcı şemasından bir kod parçacığı (CoffeeScript'te). Bycrypt yavaş (amaç) olarak async işlevlerini kullandığınızdan emin olun.

class User extends SharedUser 
    defaults: _.extend {domainId: null}, SharedUser::defaults 

    #Irrelevant bits trimmed... 

    password: (cleartext, confirm, callback) -> 
    errorInfo = new errors.InvalidData() 
    if cleartext != confirm 
     errorInfo.message = 'please type the same password twice' 
     errorInfo.errors.confirmPassword = 'must match the password' 
     return callback errorInfo 
    message = min4 cleartext 
    if message 
     errorInfo.message = message 
     errorInfo.errors.password = message 
     return callback errorInfo 
    self = this 
    bcrypt.gen_salt 10, (error, salt)-> 
     if error 
     errorInfo = new errors.InternalError error.message 
     return callback errorInfo 
     bcrypt.encrypt cleartext, salt, (error, hash)-> 
     if error 
      errorInfo = new errors.InternalError error.message 
      return callback errorInfo 
     self.attributes.bcryptedPassword = hash 
     return callback() 

    verifyPassword: (cleartext, callback) -> 
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)-> 
     if error 
     return callback(new errors.InternalError(error.message)) 
     callback null, result 

Ayrıca this article, which should convince you that bcrypt is a good choice okuyun ve "iyi ve gerçekten effed" olmaktan kaçınmak yardımcı olur.

Answer 2

Bu benim bugüne kadar rastlamak en iyi örnektir, node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt

([Veritabanı saklanması Şifreler Tercih Yöntemi] arasında