Node.js Crypto Module

Node.js

क्रिप्टो मॉड्यूल क्या है?

क्रिप्टो मॉड्यूल Node.js में एक अंतर्निहित मॉड्यूल है जो क्रिप्टोग्राफ़िक कार्यक्षमता प्रदान करता है:

हैश फ़ंक्शन

SHA-256, SHA-512, आदि

HMAC

हैश-आधारित संदेश प्रमाणीकरण कोड

सममित एन्क्रिप्शन

एईएस, डीईएस, आदि

असममित एन्क्रिप्शन

आरएसए, ईसीडीएसए, आदि

डिजीटल हस्ताक्षर

सत्यापन एवं पुष्टि

सुरक्षित यादृच्छिक संख्या पीढ़ी

यादृच्छिक डेटा सुरक्षित करें

क्रिप्टो मॉड्यूल उन अनुप्रयोगों के लिए आवश्यक है जिन्हें संवेदनशील जानकारी को सुरक्षित रूप से संभालने की आवश्यकता होती है।

क्रिप्टो मॉड्यूल ओपनएसएसएल लाइब्रेरी को इनकैप्सुलेट करता है, जो अच्छी तरह से स्थापित और परीक्षण किए गए क्रिप्टोग्राफ़िक तरीकों तक पहुंच प्रदान करता है।

इस मॉड्यूल का उपयोग आमतौर पर संवेदनशील डेटा को संभालने के लिए किया जाता है, जैसे:

क्रिप्टो के साथ शुरुआत करना

क्रिप्टो मॉड्यूल का उपयोग करके एक स्ट्रिंग को हैश करने का एक त्वरित उदाहरण यहां दिया गया है:

बुनियादी हैशिंग उदाहरण

const crypto = require('crypto');

// Create a SHA-256 hash of a string
const hash = crypto.createHash('sha256')
  .update('Hello, Node.js!')
  .digest('hex');
console.log('SHA-256 Hash:', hash);

क्रिप्टो मॉड्यूल स्थापित करें

क्रिप्टो मॉड्यूल Node.js में डिफ़ॉल्ट रूप से शामिल है।

आप इसे अपनी स्क्रिप्ट में आवश्यकतानुसार उपयोग कर सकते हैं:

const crypto = require('crypto');

हैश फ़ंक्शन

हैशिंग वर्णों की एक निश्चित-लंबाई वाली स्ट्रिंग में डेटा का एकतरफा परिवर्तन है।

हैश फ़ंक्शंस में कई महत्वपूर्ण गुण होते हैं:

निर्धारण:एक ही इनपुट हमेशा एक ही आउटपुट उत्पन्न करता है
मानक लंबाई:इनपुट स्तर की परवाह किए बिना आउटपुट हमेशा समान होता है
एक तरफ़ा रास्ता:प्रक्रिया को बदलना बहुत कठिन है
हिमस्खलन प्रभाव:इनपुट में छोटे परिवर्तन आउटपुट में महत्वपूर्ण परिवर्तन लाएंगे

सामान्य उपयोग के मामले:

हैश पीढ़ी

const crypto = require('crypto');

// Create a hash object
const hash = crypto.createHash('sha256');

// Update the hash with data
hash.update('Hello, World!');

// Get the digest in hexadecimal format
const digest = hash.digest('hex');
console.log(digest);

इस उदाहरण में:

सामान्य हैश विधियाँ

const crypto = require('crypto');
const data = 'Hello, World!';

// MD5 (not recommended for security-critical applications)
const md5 = crypto.createHash('md5').update(data).digest('hex');
console.log('MD5:', md5);

// SHA-1 (not recommended for security-critical applications)
const sha1 = crypto.createHash('sha1').update(data).digest('hex');
console.log('SHA-1:', sha1);

// SHA-256
const sha256 = crypto.createHash('sha256').update(data).digest('hex');
console.log('SHA-256:', sha256);

// SHA-512
const sha512 = crypto.createHash('sha512').update(data).digest('hex');
console.log('SHA-512:', sha512);

⚠️चेतावनी:

MD5 और SHA-1 को क्रिप्टोग्राफ़िक रूप से कमज़ोर माना जाता है और सुरक्षा-महत्वपूर्ण अनुप्रयोगों के लिए इसका उपयोग नहीं किया जाना चाहिए।

इसके बजाय SHA-256, SHA-384, या SHA-512 का उपयोग करें।

पारणशब्द सुरक्षा

पासवर्ड से निपटते समय, क्रूर-बल के हमलों को रोकने के लिए कम्प्यूटेशनल रूप से महंगे डिज़ाइन किए गए विशेष पासवर्ड हैशिंग फ़ंक्शन का उपयोग करना महत्वपूर्ण है।

साधारण हैश पर्याप्त क्यों नहीं हैं:

🔒महत्वपूर्ण नोट:

पासवर्ड को कभी भी सादे टेक्स्ट में या MD5 या SHA-1 जैसे साधारण हैश के साथ संग्रहीत न करें।

इन्हें इंद्रधनुष तालिकाओं या जानवर-बल के हमलों का उपयोग करके आसानी से तोड़ा जा सकता है।

पासवर्ड सुरक्षा के लिए महत्वपूर्ण अवधारणाएँ

Salting:हैशिंग से पहले प्रत्येक पासवर्ड में एक अद्वितीय यादृच्छिक मान जोड़ें
Key Stretching:क्रूर-बल के हमलों को रोकने के लिए हैशिंग प्रक्रिया को जानबूझकर धीमा करें
Work Factor:नियंत्रित करें कि हैशिंग प्रक्रिया कम्प्यूटेशनल रूप से कितनी गहन है

Salt क्या हैं?

नमक प्रत्येक उपयोगकर्ता के लिए अद्वितीय एक यादृच्छिक स्ट्रिंग है।

इसे हैशिंग से पहले पासवर्ड के साथ जोड़ दिया जाता है, जो यह सुनिश्चित करता है कि भले ही दो उपयोगकर्ताओं के पास एक ही पासवर्ड हो, उनका हैश अलग होगा।

यह एक साथ कई पासवर्ड क्रैक करने के लिए पूर्व-गणना की गई तालिकाओं (जैसे इंद्रधनुष तालिकाओं) का उपयोग करने से रोकता है।

const crypto = require('crypto');

// Function to hash a password
function hashPassword(password) {
  // Generate a random salt (16 bytes)
  const salt = crypto.randomBytes(16).toString('hex');

  // Use scrypt for password hashing (recommended)
  const hash = crypto.scryptSync(password, salt, 64).toString('hex');

  // Return both salt and hash for storage
  return { salt, hash };
}

// Function to verify a password
function verifyPassword(password, salt, hash) {
  const hashedPassword = crypto.scryptSync(password, salt, 64).toString('hex');
  return hashedPassword === hash;
}

// Example usage
const password = 'mySecurePassword';

// Hash the password for storage
const { salt, hash } = hashPassword(password);
console.log('Salt:', salt);
console.log('Hash:', hash);

// Verify a login attempt
const isValid = verifyPassword(password, salt, hash);
console.log('Password valid:', isValid); // true

const isInvalid = verifyPassword('wrongPassword', salt, hash);
console.log('Wrong password valid:', isInvalid); // false

💡नोट:

उत्पादन परिवेश में पासवर्ड हैशिंग के लिए, विशेष रूप से सुरक्षित पासवर्ड हैंडलिंग के लिए डिज़ाइन की गई एक समर्पित लाइब्रेरी का उपयोग करने पर विचार करें, उदाहरण के लिए, bcrypt या argon2।

HMAC (Hash-based Message Authentication Code)

HMAC एक विशिष्ट प्रकार का संदेश प्रमाणीकरण कोड (MAC) है जिसमें एक क्रिप्टोग्राफ़िक हैश फ़ंक्शन और एक गुप्त क्रिप्टोग्राफ़िक कुंजी शामिल होती है।

यह डेटा अखंडता और प्रमाणीकरण दोनों प्रदान करता है।

HMAC का उपयोग कब किया जाना चाहिए

एचएमएसी सुरक्षा गुण

संदेश संगठन:संदेश में कोई भी परिवर्तन एक अलग HMAC उत्पन्न करेगा
प्रामाणिकता:केवल गुप्त कुंजी वाली पार्टियाँ ही वैध HMAC बना सकती हैं
कोई एन्क्रिप्शन नहीं:HMAC संदेश को एन्क्रिप्ट नहीं करता है, केवल उसकी अखंडता की पुष्टि करता है
const crypto = require('crypto');

// Secret key
const secretKey = 'mySecretKey';

// Create an HMAC
const hmac = crypto.createHmac('sha256', secretKey);

// Update with data
hmac.update('Hello, World!');

// Get the digest
const hmacDigest = hmac.digest('hex');
console.log('HMAC:', hmacDigest);

संदेश सत्यापन के लिए HMAC

const crypto = require('crypto');

// Function to create an HMAC for a message
function createSignature(message, key) {
  const hmac = crypto.createHmac('sha256', key);
  hmac.update(message);
  return hmac.digest('hex');
}

// Function to verify a message's signature
function verifySignature(message, signature, key) {
  const expectedSignature = createSignature(message, key);
  return crypto.timingSafeEqual(
    Buffer.from(signature, 'hex'),
    Buffer.from(expectedSignature, 'hex')
  );
}

// Example usage
const secretKey = 'verySecretKey';
const message = 'Important message to verify';

// Sender creates a signature
const signature = createSignature(message, secretKey);
console.log('Message:', message);
console.log('Signature:', signature);

// Receiver verifies the signature
try {
  const isValid = verifySignature(message, signature, secretKey);
  console.log('Signature valid:', isValid); // true

  // Try with a tampered message
  const isInvalid = verifySignature('Tampered message', signature, secretKey);
  console.log('Tampered message valid:', isInvalid); // false
} catch (error) {
  console.error('Verification error:', error.message);
}

💡नोट:

टाइमिंग हमलों को रोकने के लिए क्रिप्टोग्राफ़िक तुलना के लिए हमेशा टाइमिंगसेफइक्वल() का उपयोग करें।

सममित एन्क्रिप्शन

सममित एन्क्रिप्शन एन्क्रिप्शन और डिक्रिप्शन दोनों के लिए एक ही कुंजी का उपयोग करता है।

यह आम तौर पर असममित एन्क्रिप्शन से तेज़ है और इसके लिए उपयुक्त है:

सामान्य समरूपता विधियाँ

रास्तातरीका बल का आकार वॉल्यूम का आकार टिप्पणियाँ
AES-256 256 बिट्स 128 बिट्स वर्तमान मानक का व्यापक रूप से उपयोग किया जाता है
ChaCha20 256 बिट्स 512 बिट्स सॉफ्टवेयर में तेज़, टीएलएस 1.3 का उपयोग करता है
3DES 168 बिट्स 64 बिट्स नई प्रणालियों के लिए लिगेसी की अनुशंसा नहीं की जाती है
Blowfish 32-448 बिट्स 64 बिट्स पारंपरिक, टूफिश या एईएस का प्रयोग करें

💡नोट:

दोनों प्रदान करते समय हमेशा मान्यता प्राप्त एन्क्रिप्शन विधियों का उपयोग करें, उदाहरण के लिए, एईएस-जीसीएम या एईएस-सीसीएम।

AES (Advanced Encryption Standard)

const crypto = require('crypto');

// Function to encrypt data
function encrypt(text, key) {
  // Generate a random initialization vector
  const iv = crypto.randomBytes(16);

  // Create cipher with AES-256-CBC
  const cipher = crypto.createCipheriv('aes-256-cbc', key, iv);

  // Encrypt the data
  let encrypted = cipher.update(text, 'utf8', 'hex');
  encrypted += cipher.final('hex');

  // Return both the encrypted data and the IV
  return {
    iv: iv.toString('hex'),
    encryptedData: encrypted
  };
}

// Function to decrypt data
function decrypt(encryptedData, iv, key) {
  // Create decipher
  const decipher = crypto.createDecipheriv(
    'aes-256-cbc',
    key,
    Buffer.from(iv, 'hex')
  );

  // Decrypt the data
  let decrypted = decipher.update(encryptedData, 'hex', 'utf8');
  decrypted += decipher.final('utf8');

  return decrypted;
}

// Example usage
// Note: In a real application, use a properly generated and securely stored key
const key = crypto.scryptSync('secretPassword', 'salt', 32); // 32 bytes = 256 bits
const message = 'This is a secret message';

// Encrypt
const { iv, encryptedData } = encrypt(message, key);
console.log('Original:', message);
console.log('Encrypted:', encryptedData);
console.log('IV:', iv);

// Decrypt
const decrypted = decrypt(encryptedData, iv, key);
console.log('Decrypted:', decrypted);

⚠️चेतावनी:

एक ही कुंजी के साथ एक ही इनिशियलाइज़ेशन वेक्टर (IV) का पुन: उपयोग न करें।

प्रत्येक एन्क्रिप्शन ऑपरेशन के लिए एक नया यादृच्छिक IV उत्पन्न करें।

अन्य सममित पथ

क्रिप्टो मॉड्यूल विभिन्न सममित एन्क्रिप्शन विधियों का समर्थन करता है।

उपलब्ध सिफर विधियों को इसके द्वारा देखा जा सकता है:

const crypto = require('crypto');

// List available cipher algorithms
console.log(crypto.getCiphers());

असममित एन्क्रिप्शन

असममित एन्क्रिप्शन (सार्वजनिक-कुंजी क्रिप्टोग्राफी) गणितीय रूप से संबंधित कुंजियों की एक जोड़ी का उपयोग करता है:

सार्वजनिक कुंजी

सार्वजनिक रूप से साझा किया जा सकता है, एन्क्रिप्शन के लिए उपयोग किया जा सकता है

निजी चाबी

गुप्त रखने के लिए, एन्क्रिप्शन के लिए उपयोग किया जाता है

सामान्य उपयोग के मामले

सामान्य असममित मार्ग

रास्तातरीका बल का आकार सुरक्षा स्तर टिप्पणियाँ
RSA 2048+ बिट्स उच्च व्यापक रूप से उपयोग किया जाता है, अच्छी संगतता
ECDSA 256-521 बिट्स उच्च बिटकॉइन में TLS 1.3 का उपयोग किया जाता है
Ed25519 256 बिट्स बहुत ऊँचा आधुनिक, कुशल, एसएसएच में उपयोग किया जाता है

प्रदर्शन नोट:

असममित एन्क्रिप्शन सममित एन्क्रिप्शन की तुलना में बहुत धीमा है।

बड़ी मात्रा में डेटा एन्क्रिप्ट करने के लिए, हाइब्रिड दृष्टिकोण का उपयोग करें:

  • एक यादृच्छिक सममित कुंजी बनाएँ
  • एक सममित कुंजी के साथ अपना डेटा एन्क्रिप्ट करें
  • प्राप्तकर्ता की सार्वजनिक कुंजी के साथ सममित कुंजी को एन्क्रिप्ट करें
  • एन्क्रिप्टेड डेटा और एन्क्रिप्टेड कुंजी दोनों भेजें

RSA (Rivest-Shamir-Adleman)

const crypto = require('crypto');

// Generate RSA key pair
function generateKeyPair() {
  return crypto.generateKeyPairSync('rsa', {
    modulusLength: 2048, // Key size in bits
    publicKeyEncoding: {
      type: 'spki',
      format: 'pem'
    },
    privateKeyEncoding: {
      type: 'pkcs8',
      format: 'pem'
    }
  });
}

// Encrypt with public key
function encryptWithPublicKey(text, publicKey) {
  const buffer = Buffer.from(text, 'utf8');
  const encrypted = crypto.publicEncrypt(
    {
      key: publicKey,
      padding: crypto.constants.RSA_PKCS1_OAEP_PADDING
    },
    buffer
  );
  return encrypted.toString('base64');
}

// Decrypt with private key
function decryptWithPrivateKey(encryptedText, privateKey) {
  const buffer = Buffer.from(encryptedText, 'base64');
  const decrypted = crypto.privateDecrypt(
    {
      key: privateKey,
      padding: crypto.constants.RSA_PKCS1_OAEP_PADDING
    },
    buffer
  );
  return decrypted.toString('utf8');
}

// Generate keys
const { publicKey, privateKey } = generateKeyPair();
console.log('Public Key:', publicKey.substring(0, 50) + '...');
console.log('Private Key:', privateKey.substring(0, 50) + '...');

// Example usage
const message = 'This message is encrypted with RSA';
const encrypted = encryptWithPublicKey(message, publicKey);
console.log('Encrypted:', encrypted.substring(0, 50) + '...');

const decrypted = decryptWithPrivateKey(encrypted, privateKey);
console.log('Decrypted:', decrypted);

💡नोट:

आरएसए का उपयोग आमतौर पर प्रदर्शन बाधाओं के कारण छोटी मात्रा में डेटा (जैसे एन्क्रिप्शन कुंजी) को एन्क्रिप्ट करने के लिए किया जाता है।

बड़े डेटा के लिए, हाइब्रिड दृष्टिकोण का उपयोग करें: डेटा को सममित विधि (जैसे एईएस) के साथ एन्क्रिप्ट करें और आरएसए के साथ सममित कुंजी को एन्क्रिप्ट करें।

डिजीटल हस्ताक्षर

डिजिटल हस्ताक्षर संदेशों, सॉफ़्टवेयर या डिजिटल दस्तावेज़ों की प्रामाणिकता और अखंडता को सत्यापित करने का एक तरीका प्रदान करते हैं।

const crypto = require('crypto');

// Generate RSA key pair
const { publicKey, privateKey } = crypto.generateKeyPairSync('rsa', {
  modulusLength: 2048,
  publicKeyEncoding: {
    type: 'spki',
    format: 'pem'
  },
  privateKeyEncoding: {
    type: 'pkcs8',
    format: 'pem'
  }
});

// Function to sign a message
function signMessage(message, privateKey) {
  const signer = crypto.createSign('sha256');
  signer.update(message);
  return signer.sign(privateKey, 'base64');
}

// Function to verify a signature
function verifySignature(message, signature, publicKey) {
  const verifier = crypto.createVerify('sha256');
  verifier.update(message);
  return verifier.verify(publicKey, signature, 'base64');
}

// Example usage
const message = 'This message needs to be signed';
const signature = signMessage(message, privateKey);
console.log('Message:', message);
console.log('Signature:', signature.substring(0, 50) + '...');

// Verify the signature
const isValid = verifySignature(message, signature, publicKey);
console.log('Signature valid:', isValid); // true

// Verify with a modified message
const isInvalid = verifySignature('Modified message', signature, publicKey);
console.log('Modified message valid:', isInvalid); // false

यादृच्छिक डेटा सृजन

सुरक्षित यादृच्छिक डेटा उत्पन्न करना कई क्रिप्टोग्राफ़िक संचालन के लिए महत्वपूर्ण है, जैसे कुंजी, लवण और आरंभीकरण वैक्टर उत्पन्न करना।

const crypto = require('crypto');

// Generate random bytes
const randomBytes = crypto.randomBytes(16);
console.log('Random bytes:', randomBytes.toString('hex'));

// Generate a random string (Base64)
const randomString = crypto.randomBytes(32).toString('base64');
console.log('Random string:', randomString);

// Generate a random number between 1 and 100
function secureRandomNumber(min, max) {
  // Ensure we have enough randomness
  const range = max - min + 1;
  const bytesNeeded = Math.ceil(Math.log2(range) / 8);
  const maxValue = 256 ** bytesNeeded;

  // Generate random bytes and convert to a number
  const randomBytes = crypto.randomBytes(bytesNeeded);
  const randomValue = randomBytes.reduce((acc, byte, i) => {
    return acc + byte * (256 ** i);
  }, 0);

  // Scale to our range and shift by min
  return min + Math.floor((randomValue * range) / maxValue);
}

// Example: Generate 5 random numbers
for (let i = 0; i < 5; i++) {
  console.log(`Random number ${i+1}:`, secureRandomNumber(1, 100));
}

सुरक्षा सर्वोत्तम प्रथाएँ

क्रिप्टो मॉड्यूल का उपयोग करते समय, इन सर्वोत्तम प्रथाओं को ध्यान में रखें:

आधुनिक तरीकों का प्रयोग करें:MD5, SHA-1 और अन्य पुरानी विधियों से बचें
सुरक्षित कुंजी प्रबंधन:कुंजियों को सुरक्षित रूप से संग्रहित करें, उन्हें नियमित रूप से घुमाएँ, और उन्हें कभी भी हार्डकोड न करें
यादृच्छिक IV का उपयोग करें:प्रत्येक एन्क्रिप्शन ऑपरेशन के लिए एक नया यादृच्छिक IV उत्पन्न करें
प्रमाणीकरण जोड़ें:यदि संभव हो तो जीसीएम जैसी मान्यता प्राप्त एन्क्रिप्शन विधियों का उपयोग करें
लगातार समय तुलना:सुरक्षा-महत्वपूर्ण मूल्यों की तुलना करने के लिए हमेशा क्रिप्टो.टाइमिंगसेफइक्वल() का उपयोग करें
मुख्य व्युत्पत्ति:पासवर्ड-आधारित कुंजियों के लिए उपयुक्त कुंजी व्युत्पत्ति फ़ंक्शन जैसे स्क्रीप्ट, बीक्रिप्ट, या पीबीकेडीएफ2 का उपयोग करें।
अद्यतन रखें:सुरक्षा सुधार और नए तरीकों के लिए समर्थन प्राप्त करने के लिए Node.js को अद्यतन रखें
नीचे दिए गए मानकों का पालन करें:स्थापित क्रिप्टोग्राफ़िक मानकों और प्रोटोकॉल का पालन करें

⚠️चेतावनी:

क्रिप्टोग्राफी जटिल है, और गलतियाँ गंभीर सुरक्षा कमजोरियाँ पैदा कर सकती हैं।

महत्वपूर्ण सुरक्षा सुविधाओं को लागू करते समय, किसी सुरक्षा विशेषज्ञ से परामर्श लें या विशिष्ट क्रिप्टोग्राफ़िक कार्यों के लिए डिज़ाइन की गई अच्छी तरह से स्थापित लाइब्रेरी का उपयोग करने पर विचार करें।

सारांश

Node.js Crypto :

हैश फ़ंक्शन

डेटा एकीकरण और फ़िंगरप्रिंटिंग

HMAC

प्रमाणीकरण और एकीकरण परीक्षण

सममित एन्क्रिप्शन

साझा कुंजियों से डेटा सुरक्षित करना

असममित एन्क्रिप्शन

सुरक्षित संचार और डिजिटल हस्ताक्षर

यादृच्छिक डेटा सृजन

क्रिप्टोग्राफ़िक कार्य

डिजीटल हस्ताक्षर

प्रामाणिकता सत्यापन

इन क्रिप्टोग्राफ़िक अवधारणाओं को समझकर और ठीक से लागू करके, आप सुरक्षित एप्लिकेशन बना सकते हैं जो संवेदनशील डेटा और संचार की सुरक्षा करते हैं।

अभ्यास

Node.js .

बफ़र मॉड्यूल
✗ ग़लत! बफ़र ब्लॉक का उपयोग बाइनरी डेटा को संभालने के लिए किया जाता है, क्रिप्टोग्राफ़िक संचालन के लिए नहीं
स्ट्रीम मॉड्यूल
✗ ग़लत! स्ट्रीम मॉड्यूल का उपयोग डेटा प्रवाह को संभालने के लिए किया जाता है, क्रिप्टोग्राफ़िक संचालन के लिए नहीं
क्रिप्टो मॉड्यूल
✓ ठीक है! क्रिप्टो मॉड्यूल एक आदर्श मॉड्यूल है जो Node.js को क्रिप्टोग्राफ़िक कार्यक्षमता प्रदान करता है
HTTP ब्लॉक
✗ ग़लत! HTTP मॉड्यूल का उपयोग वेब अनुरोधों को संभालने के लिए किया जाता है, क्रिप्टोग्राफ़िक कार्यक्षमता के लिए नहीं