Node中密码存储的密码学最佳实践

我正在寻找一个简单,安全的解决scheme来存储用户的密码,使用节点。 我是一个密码学新手,但一直试图从网上调查一起解决scheme。 我正在寻找validation,我想出的是一个具有基本(而不是银行,医院等)安全需求的Web应用程序的可靠解决scheme。 这里是:

var crypto = require('crypto'); var SALT_LENGTH = 64; var KEY_LENGTH = 64; var ITERATIONS = 1000; function createHashedPassword(plainTextPassword, cb) { crypto.randomBytes(SALT_LENGTH, function (err, salt) { console.time('password-hash'); crypto.pbkdf2(plainTextPassword, salt, ITERATIONS, KEY_LENGTH, function (err, derivedKey) { console.timeEnd('password-hash'); return cb(null, {derivedKey: derivedKey, salt: salt, iterations: ITERATIONS}); }); }); }; 

…以下是我所做的select,

什么哈希algorithm使用?

基于这篇广泛引用的文章 ,它看起来像领先的竞争者是PBKDF2,bcrypt和scrypt。 我select了PBKDF2,因为它已经在Node中build立了支持。

什么盐大小使用?

这个堆栈溢出的答案似乎是我能find的最直接的答案。 我仍然不清楚为什么64字节是合适的salt大小。 当我谷歌周围,我得到这样的其他堆栈交换的答案,但我不知道它适用于节点algorithm? 完全困惑在这里,针对新手使用这个节点function的解释是非常棒的。

什么关键长度使用?

再一次,我主要根据上面的同样的答案来select我的select,但是我对“为什么”的基础知识有点模糊。 答案是:“生成小于你的input的密钥是很浪费的,所以至less使用64个字节”。 咦? 再次,一个实际的解释将是有益的。

多less次迭代使用?

对于这个问题,我根据这个堆栈交换答案来select我的select。 我不太了解它,但是我确实知道该algorithm需要大约8ms。 所以,正如你所看到的,我把定时器放在函数上,并且调整了我的迭代,以便在我的机器上find它。

谢谢!

       

网上收集的解决方案 "Node中密码存储的密码学最佳实践"

NPM包凭证处理所有这些

您可以在编写Javascript应用程序的书中看到作者的写作

我强烈build议使用BCrypt 。 algorithm有很多优点,大多数实现都是为你处理所有这些问题。

正如在这个答案中所述 :

Bcrypt的密码algorithm具有最好的声誉:它已经存在了相当长的一段时间,被广泛使用,引起了人们的关注,但至今仍然没有中断。

我写了一篇关于如何在node / express中实现BCrypt的详细文章以及其他的框架: http ://davismj.me/blog/bcrypt