Node.jsとMongoDBでパスワードを保存する

Question

node.jsとmongodbを使ってパスワードやその他の機密データを安全に保存する方法の例を探しています。

モンゴ文書のハッシュに沿って保存する固有の塩をすべて使いたいと思います。

認証のために、入力を暗号化して暗号化して、格納されたハッシュと一致させる必要がありますか？

このデータを復号化する必要がありますか？その場合、どうすればよいですか？

プライベートキー、またはソルト方法はサーバーに安全に保存されていますか？

AESとBlowfishがどちらも良い選択だと聞いたことがありますが、どうすればいいですか？

これをどのように設計するかの例は素晴らしいことでしょう。

ありがとうございました！

Answer 1

使用この：https://github.com/ncb000gt/node.bcrypt.js/

bcryptのは、このユースケースに焦点を当て、わずか数のアルゴリズムの一つです。パスワードを解読することは決してできず、ユーザーが入力したクリアテキストのパスワードが保存された/暗号化されたハッシュと一致することを確認するだけです。

bcryptは、使用するのが非常に簡単です。私のMongoose Userスキーマ（CoffeeScript）の抜粋です。 bycryptはゆっくりと（意図的に）async関数を使用してください。

class User extends SharedUser 
    defaults: _.extend {domainId: null}, SharedUser::defaults 

    #Irrelevant bits trimmed... 

    password: (cleartext, confirm, callback) -> 
    errorInfo = new errors.InvalidData() 
    if cleartext != confirm 
     errorInfo.message = 'please type the same password twice' 
     errorInfo.errors.confirmPassword = 'must match the password' 
     return callback errorInfo 
    message = min4 cleartext 
    if message 
     errorInfo.message = message 
     errorInfo.errors.password = message 
     return callback errorInfo 
    self = this 
    bcrypt.gen_salt 10, (error, salt)-> 
     if error 
     errorInfo = new errors.InternalError error.message 
     return callback errorInfo 
     bcrypt.encrypt cleartext, salt, (error, hash)-> 
     if error 
      errorInfo = new errors.InternalError error.message 
      return callback errorInfo 
     self.attributes.bcryptedPassword = hash 
     return callback() 

    verifyPassword: (cleartext, callback) -> 
    bcrypt.compare cleartext, @attributes.bcryptedPassword, (error, result)-> 
     if error 
     return callback(new errors.InternalError(error.message)) 
     callback null, result 

はまた、 this article, which should convince you that bcrypt is a good choiceを読んで、あなたは "うまく、本当にeffed" なることを避けるために役立ちます。

Answer 2

これは私が今までに遭遇した最高の例では、node.bcrypt.js http://devsmash.com/blog/password-authentication-with-mongoose-and-bcrypt

（[データベースへの格納パスワードの好ましい方法]の