NodeJS: bcrypt vs native crypto

W połączeniu z odpowiedzią @ mike-scott, powinieneś preferować bcrypt dla haseł, ale nadal możesz używać crypto do szerokiego zakresu zadań, takich jak tworzenie losowych tokenów lub sumy kontrolnej HMAC lub hashów SHA1/MD5:

var crypto = require('crypto'); 

// random tokens
var buf = crypto.randomBytes(16).toString('hex');
console.log('Random token of %d bytes in hexadecimal: %s', buf.length, buf);
var buf = crypto.randomBytes(16).toString('base64');
console.log('Random token of %d bytes in base 64: %s', buf.length, buf);

// a hashed message authentication checksum (HMAC) using a shared secret key
var string = 'My coffee please';
var key = 'Right away sir';

var encrypted = crypto.createHmac('sha1', key).update(string).digest('hex');
console.log('Encrypting "%s" using passphrase "%s": %s', string, key, encrypted);

// a MD5 hash
var hashmd5 = crypto.createHash('md5').update(string).digest('hex');
console.log('The MD5 hash of "%s" is %s', string, hashmd5); 

// a SHA1 hash
var hashsha1 = crypto.createHash('sha1').update(string).digest('hex');
console.log('The SHA1 hash of "%s" is %s', string, hashsha1); 

Użyłbym natywnej biblioteki kryptograficznej nodejsa

Myślę, że decyzja nie powinna opierać się tylko na tym, kto robi co lepiej, to znacznie więcej

Powinieneś wiedzieć dlaczego node.js zawierał wbudowany Moduł crypto, podczas gdy pierwotnie nie był częścią node.js i wiele bibliotek było popularnych w repozytorium npm, w tym bcrypt

Powodem było to, że kryptografia jest ważnym aspektem bezpieczeństwa, użycie zewnętrznego modułu z npm ma możliwość złośliwego kodu injected, który pokonuje oryginalny cel bezpieczeństwa

Stąd potrzeba zaufanej biblioteki dla takiej funkcji kryptograficznej, co było motywacją dla nodejs do udostępnienia takiej biblioteki

Jeśli uważasz, że metoda kryptograficzna nie jest silna, lepiej Zgłoś problem na nodejs o tym samym, zamiast ślepo ufać zewnętrznej bibliotece

Nadal mi Nie wierzysz? przeczytaj ten artykuł https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5