与bcrypt Node.js模块的安全性差异

Question

我的一个项目是将bcrypt模块用于散列秘密.少数人抱怨由于它的依赖性而难以安装.我曾尝试在Windows Server上安装它,它不是在公园散步.

人们要求我使用纯Javascript drop-in替换,例如dcodeIO/bcrypt.js和shaneGirish/bcrypt-nodejs.但我真的不知道使用它们的安全隐患.它们一样可靠吗？

Answer 1

如果这些实现是正确的，您应该使用可用的最快的bcrypt，这很可能意味着非 JS 实现。

您应该假设攻击者拥有最快的可用实现，并且您希望通过尽可能合理地增加计算成本来减慢攻击者的速度。