क्रिप्टो मॉड्यूल क्या है?
क्रिप्टो मॉड्यूल Node.js में एक अंतर्निहित मॉड्यूल है जो क्रिप्टोग्राफ़िक कार्यक्षमता प्रदान करता है:
हैश फ़ंक्शन
SHA-256, SHA-512, आदि
HMAC
हैश-आधारित संदेश प्रमाणीकरण कोड
सममित एन्क्रिप्शन
एईएस, डीईएस, आदि
असममित एन्क्रिप्शन
आरएसए, ईसीडीएसए, आदि
डिजीटल हस्ताक्षर
सत्यापन एवं पुष्टि
सुरक्षित यादृच्छिक संख्या पीढ़ी
यादृच्छिक डेटा सुरक्षित करें
क्रिप्टो मॉड्यूल उन अनुप्रयोगों के लिए आवश्यक है जिन्हें संवेदनशील जानकारी को सुरक्षित रूप से संभालने की आवश्यकता होती है।
क्रिप्टो मॉड्यूल ओपनएसएसएल लाइब्रेरी को इनकैप्सुलेट करता है, जो अच्छी तरह से स्थापित और परीक्षण किए गए क्रिप्टोग्राफ़िक तरीकों तक पहुंच प्रदान करता है।
इस मॉड्यूल का उपयोग आमतौर पर संवेदनशील डेटा को संभालने के लिए किया जाता है, जैसे:
- उपयोगकर्ता प्रमाणीकरण और पासवर्ड भंडारण
- सुरक्षित डेटा विनिमय
- फ़ाइल एन्क्रिप्शन और डिक्रिप्शन
- सुरक्षित संचार चैनल
क्रिप्टो के साथ शुरुआत करना
क्रिप्टो मॉड्यूल का उपयोग करके एक स्ट्रिंग को हैश करने का एक त्वरित उदाहरण यहां दिया गया है:
बुनियादी हैशिंग उदाहरण
const crypto = require('crypto');
// Create a SHA-256 hash of a string
const hash = crypto.createHash('sha256')
.update('Hello, Node.js!')
.digest('hex');
console.log('SHA-256 Hash:', hash);
क्रिप्टो मॉड्यूल स्थापित करें
क्रिप्टो मॉड्यूल Node.js में डिफ़ॉल्ट रूप से शामिल है।
आप इसे अपनी स्क्रिप्ट में आवश्यकतानुसार उपयोग कर सकते हैं:
const crypto = require('crypto');
हैश फ़ंक्शन
हैशिंग वर्णों की एक निश्चित-लंबाई वाली स्ट्रिंग में डेटा का एकतरफा परिवर्तन है।
हैश फ़ंक्शंस में कई महत्वपूर्ण गुण होते हैं:
सामान्य उपयोग के मामले:
- पासवर्ड भंडारण
- डेटा अखंडता सत्यापन
- डिजीटल हस्ताक्षर
- सामग्री का पता (उदाहरण के लिए, Git, IPFS)
हैश पीढ़ी
const crypto = require('crypto');
// Create a hash object
const hash = crypto.createHash('sha256');
// Update the hash with data
hash.update('Hello, World!');
// Get the digest in hexadecimal format
const digest = hash.digest('hex');
console.log(digest);
इस उदाहरण में:
- createHash()- निर्दिष्ट पथ के साथ एक हैश ऑब्जेक्ट बनाता है
- update()- दिए गए डेटा के साथ हैश सामग्री को अपडेट करता है
- digest()- डाइजेस्ट की गणना करता है और इसे एक निर्दिष्ट प्रारूप में आउटपुट करता है
सामान्य हैश विधियाँ
const crypto = require('crypto');
const data = 'Hello, World!';
// MD5 (not recommended for security-critical applications)
const md5 = crypto.createHash('md5').update(data).digest('hex');
console.log('MD5:', md5);
// SHA-1 (not recommended for security-critical applications)
const sha1 = crypto.createHash('sha1').update(data).digest('hex');
console.log('SHA-1:', sha1);
// SHA-256
const sha256 = crypto.createHash('sha256').update(data).digest('hex');
console.log('SHA-256:', sha256);
// SHA-512
const sha512 = crypto.createHash('sha512').update(data).digest('hex');
console.log('SHA-512:', sha512);
चेतावनी:
MD5 और SHA-1 को क्रिप्टोग्राफ़िक रूप से कमज़ोर माना जाता है और सुरक्षा-महत्वपूर्ण अनुप्रयोगों के लिए इसका उपयोग नहीं किया जाना चाहिए।
इसके बजाय SHA-256, SHA-384, या SHA-512 का उपयोग करें।
पारणशब्द सुरक्षा
पासवर्ड से निपटते समय, क्रूर-बल के हमलों को रोकने के लिए कम्प्यूटेशनल रूप से महंगे डिज़ाइन किए गए विशेष पासवर्ड हैशिंग फ़ंक्शन का उपयोग करना महत्वपूर्ण है।
साधारण हैश पर्याप्त क्यों नहीं हैं:
महत्वपूर्ण नोट:
पासवर्ड को कभी भी सादे टेक्स्ट में या MD5 या SHA-1 जैसे साधारण हैश के साथ संग्रहीत न करें।
इन्हें इंद्रधनुष तालिकाओं या जानवर-बल के हमलों का उपयोग करके आसानी से तोड़ा जा सकता है।
पासवर्ड सुरक्षा के लिए महत्वपूर्ण अवधारणाएँ
Salt क्या हैं?
नमक प्रत्येक उपयोगकर्ता के लिए अद्वितीय एक यादृच्छिक स्ट्रिंग है।
इसे हैशिंग से पहले पासवर्ड के साथ जोड़ दिया जाता है, जो यह सुनिश्चित करता है कि भले ही दो उपयोगकर्ताओं के पास एक ही पासवर्ड हो, उनका हैश अलग होगा।
यह एक साथ कई पासवर्ड क्रैक करने के लिए पूर्व-गणना की गई तालिकाओं (जैसे इंद्रधनुष तालिकाओं) का उपयोग करने से रोकता है।
const crypto = require('crypto');
// Function to hash a password
function hashPassword(password) {
// Generate a random salt (16 bytes)
const salt = crypto.randomBytes(16).toString('hex');
// Use scrypt for password hashing (recommended)
const hash = crypto.scryptSync(password, salt, 64).toString('hex');
// Return both salt and hash for storage
return { salt, hash };
}
// Function to verify a password
function verifyPassword(password, salt, hash) {
const hashedPassword = crypto.scryptSync(password, salt, 64).toString('hex');
return hashedPassword === hash;
}
// Example usage
const password = 'mySecurePassword';
// Hash the password for storage
const { salt, hash } = hashPassword(password);
console.log('Salt:', salt);
console.log('Hash:', hash);
// Verify a login attempt
const isValid = verifyPassword(password, salt, hash);
console.log('Password valid:', isValid); // true
const isInvalid = verifyPassword('wrongPassword', salt, hash);
console.log('Wrong password valid:', isInvalid); // false
नोट:
उत्पादन परिवेश में पासवर्ड हैशिंग के लिए, विशेष रूप से सुरक्षित पासवर्ड हैंडलिंग के लिए डिज़ाइन की गई एक समर्पित लाइब्रेरी का उपयोग करने पर विचार करें, उदाहरण के लिए, bcrypt या argon2।
HMAC (Hash-based Message Authentication Code)
HMAC एक विशिष्ट प्रकार का संदेश प्रमाणीकरण कोड (MAC) है जिसमें एक क्रिप्टोग्राफ़िक हैश फ़ंक्शन और एक गुप्त क्रिप्टोग्राफ़िक कुंजी शामिल होती है।
यह डेटा अखंडता और प्रमाणीकरण दोनों प्रदान करता है।
HMAC का उपयोग कब किया जाना चाहिए
- एपीआई अनुरोध सत्यापन
- कुकीज़ और सत्र सुरक्षित करें
- डेटा अखंडता परीक्षण
- वेबहुक सत्यापन
एचएमएसी सुरक्षा गुण
const crypto = require('crypto');
// Secret key
const secretKey = 'mySecretKey';
// Create an HMAC
const hmac = crypto.createHmac('sha256', secretKey);
// Update with data
hmac.update('Hello, World!');
// Get the digest
const hmacDigest = hmac.digest('hex');
console.log('HMAC:', hmacDigest);
संदेश सत्यापन के लिए HMAC
const crypto = require('crypto');
// Function to create an HMAC for a message
function createSignature(message, key) {
const hmac = crypto.createHmac('sha256', key);
hmac.update(message);
return hmac.digest('hex');
}
// Function to verify a message's signature
function verifySignature(message, signature, key) {
const expectedSignature = createSignature(message, key);
return crypto.timingSafeEqual(
Buffer.from(signature, 'hex'),
Buffer.from(expectedSignature, 'hex')
);
}
// Example usage
const secretKey = 'verySecretKey';
const message = 'Important message to verify';
// Sender creates a signature
const signature = createSignature(message, secretKey);
console.log('Message:', message);
console.log('Signature:', signature);
// Receiver verifies the signature
try {
const isValid = verifySignature(message, signature, secretKey);
console.log('Signature valid:', isValid); // true
// Try with a tampered message
const isInvalid = verifySignature('Tampered message', signature, secretKey);
console.log('Tampered message valid:', isInvalid); // false
} catch (error) {
console.error('Verification error:', error.message);
}
नोट:
टाइमिंग हमलों को रोकने के लिए क्रिप्टोग्राफ़िक तुलना के लिए हमेशा टाइमिंगसेफइक्वल() का उपयोग करें।
सममित एन्क्रिप्शन
सममित एन्क्रिप्शन एन्क्रिप्शन और डिक्रिप्शन दोनों के लिए एक ही कुंजी का उपयोग करता है।
यह आम तौर पर असममित एन्क्रिप्शन से तेज़ है और इसके लिए उपयुक्त है:
- कुल डेटा एन्क्रिप्शन
- डेटाबेस एन्क्रिप्शन
- फ़ाइल स्वरूप एन्क्रिप्शन
- सुरक्षित संदेश (कुंजी विनिमय के साथ संयुक्त)
सामान्य समरूपता विधियाँ
| रास्तातरीका | बल का आकार | वॉल्यूम का आकार | टिप्पणियाँ |
|---|---|---|---|
| AES-256 | 256 बिट्स | 128 बिट्स | वर्तमान मानक का व्यापक रूप से उपयोग किया जाता है |
| ChaCha20 | 256 बिट्स | 512 बिट्स | सॉफ्टवेयर में तेज़, टीएलएस 1.3 का उपयोग करता है |
| 3DES | 168 बिट्स | 64 बिट्स | नई प्रणालियों के लिए लिगेसी की अनुशंसा नहीं की जाती है |
| Blowfish | 32-448 बिट्स | 64 बिट्स | पारंपरिक, टूफिश या एईएस का प्रयोग करें |
नोट:
दोनों प्रदान करते समय हमेशा मान्यता प्राप्त एन्क्रिप्शन विधियों का उपयोग करें, उदाहरण के लिए, एईएस-जीसीएम या एईएस-सीसीएम।
AES (Advanced Encryption Standard)
const crypto = require('crypto');
// Function to encrypt data
function encrypt(text, key) {
// Generate a random initialization vector
const iv = crypto.randomBytes(16);
// Create cipher with AES-256-CBC
const cipher = crypto.createCipheriv('aes-256-cbc', key, iv);
// Encrypt the data
let encrypted = cipher.update(text, 'utf8', 'hex');
encrypted += cipher.final('hex');
// Return both the encrypted data and the IV
return {
iv: iv.toString('hex'),
encryptedData: encrypted
};
}
// Function to decrypt data
function decrypt(encryptedData, iv, key) {
// Create decipher
const decipher = crypto.createDecipheriv(
'aes-256-cbc',
key,
Buffer.from(iv, 'hex')
);
// Decrypt the data
let decrypted = decipher.update(encryptedData, 'hex', 'utf8');
decrypted += decipher.final('utf8');
return decrypted;
}
// Example usage
// Note: In a real application, use a properly generated and securely stored key
const key = crypto.scryptSync('secretPassword', 'salt', 32); // 32 bytes = 256 bits
const message = 'This is a secret message';
// Encrypt
const { iv, encryptedData } = encrypt(message, key);
console.log('Original:', message);
console.log('Encrypted:', encryptedData);
console.log('IV:', iv);
// Decrypt
const decrypted = decrypt(encryptedData, iv, key);
console.log('Decrypted:', decrypted);
चेतावनी:
एक ही कुंजी के साथ एक ही इनिशियलाइज़ेशन वेक्टर (IV) का पुन: उपयोग न करें।
प्रत्येक एन्क्रिप्शन ऑपरेशन के लिए एक नया यादृच्छिक IV उत्पन्न करें।
अन्य सममित पथ
क्रिप्टो मॉड्यूल विभिन्न सममित एन्क्रिप्शन विधियों का समर्थन करता है।
उपलब्ध सिफर विधियों को इसके द्वारा देखा जा सकता है:
const crypto = require('crypto');
// List available cipher algorithms
console.log(crypto.getCiphers());
असममित एन्क्रिप्शन
असममित एन्क्रिप्शन (सार्वजनिक-कुंजी क्रिप्टोग्राफी) गणितीय रूप से संबंधित कुंजियों की एक जोड़ी का उपयोग करता है:
सार्वजनिक कुंजी
सार्वजनिक रूप से साझा किया जा सकता है, एन्क्रिप्शन के लिए उपयोग किया जा सकता है
निजी चाबी
गुप्त रखने के लिए, एन्क्रिप्शन के लिए उपयोग किया जाता है
सामान्य उपयोग के मामले
- सुरक्षित कुंजी विनिमय (जैसे, टीएलएस/एसएसएल हैंडशेक)
- डिजीटल हस्ताक्षर
- ईमेल एन्क्रिप्शन (पीजीपी/जीपीजी)
- ब्लॉकचेन और क्रिप्टोकरेंसी
सामान्य असममित मार्ग
| रास्तातरीका | बल का आकार | सुरक्षा स्तर | टिप्पणियाँ |
|---|---|---|---|
| RSA | 2048+ बिट्स | उच्च | व्यापक रूप से उपयोग किया जाता है, अच्छी संगतता |
| ECDSA | 256-521 बिट्स | उच्च | बिटकॉइन में TLS 1.3 का उपयोग किया जाता है |
| Ed25519 | 256 बिट्स | बहुत ऊँचा | आधुनिक, कुशल, एसएसएच में उपयोग किया जाता है |
प्रदर्शन नोट:
असममित एन्क्रिप्शन सममित एन्क्रिप्शन की तुलना में बहुत धीमा है।
बड़ी मात्रा में डेटा एन्क्रिप्ट करने के लिए, हाइब्रिड दृष्टिकोण का उपयोग करें:
- एक यादृच्छिक सममित कुंजी बनाएँ
- एक सममित कुंजी के साथ अपना डेटा एन्क्रिप्ट करें
- प्राप्तकर्ता की सार्वजनिक कुंजी के साथ सममित कुंजी को एन्क्रिप्ट करें
- एन्क्रिप्टेड डेटा और एन्क्रिप्टेड कुंजी दोनों भेजें
RSA (Rivest-Shamir-Adleman)
const crypto = require('crypto');
// Generate RSA key pair
function generateKeyPair() {
return crypto.generateKeyPairSync('rsa', {
modulusLength: 2048, // Key size in bits
publicKeyEncoding: {
type: 'spki',
format: 'pem'
},
privateKeyEncoding: {
type: 'pkcs8',
format: 'pem'
}
});
}
// Encrypt with public key
function encryptWithPublicKey(text, publicKey) {
const buffer = Buffer.from(text, 'utf8');
const encrypted = crypto.publicEncrypt(
{
key: publicKey,
padding: crypto.constants.RSA_PKCS1_OAEP_PADDING
},
buffer
);
return encrypted.toString('base64');
}
// Decrypt with private key
function decryptWithPrivateKey(encryptedText, privateKey) {
const buffer = Buffer.from(encryptedText, 'base64');
const decrypted = crypto.privateDecrypt(
{
key: privateKey,
padding: crypto.constants.RSA_PKCS1_OAEP_PADDING
},
buffer
);
return decrypted.toString('utf8');
}
// Generate keys
const { publicKey, privateKey } = generateKeyPair();
console.log('Public Key:', publicKey.substring(0, 50) + '...');
console.log('Private Key:', privateKey.substring(0, 50) + '...');
// Example usage
const message = 'This message is encrypted with RSA';
const encrypted = encryptWithPublicKey(message, publicKey);
console.log('Encrypted:', encrypted.substring(0, 50) + '...');
const decrypted = decryptWithPrivateKey(encrypted, privateKey);
console.log('Decrypted:', decrypted);
नोट:
आरएसए का उपयोग आमतौर पर प्रदर्शन बाधाओं के कारण छोटी मात्रा में डेटा (जैसे एन्क्रिप्शन कुंजी) को एन्क्रिप्ट करने के लिए किया जाता है।
बड़े डेटा के लिए, हाइब्रिड दृष्टिकोण का उपयोग करें: डेटा को सममित विधि (जैसे एईएस) के साथ एन्क्रिप्ट करें और आरएसए के साथ सममित कुंजी को एन्क्रिप्ट करें।
डिजीटल हस्ताक्षर
डिजिटल हस्ताक्षर संदेशों, सॉफ़्टवेयर या डिजिटल दस्तावेज़ों की प्रामाणिकता और अखंडता को सत्यापित करने का एक तरीका प्रदान करते हैं।
const crypto = require('crypto');
// Generate RSA key pair
const { publicKey, privateKey } = crypto.generateKeyPairSync('rsa', {
modulusLength: 2048,
publicKeyEncoding: {
type: 'spki',
format: 'pem'
},
privateKeyEncoding: {
type: 'pkcs8',
format: 'pem'
}
});
// Function to sign a message
function signMessage(message, privateKey) {
const signer = crypto.createSign('sha256');
signer.update(message);
return signer.sign(privateKey, 'base64');
}
// Function to verify a signature
function verifySignature(message, signature, publicKey) {
const verifier = crypto.createVerify('sha256');
verifier.update(message);
return verifier.verify(publicKey, signature, 'base64');
}
// Example usage
const message = 'This message needs to be signed';
const signature = signMessage(message, privateKey);
console.log('Message:', message);
console.log('Signature:', signature.substring(0, 50) + '...');
// Verify the signature
const isValid = verifySignature(message, signature, publicKey);
console.log('Signature valid:', isValid); // true
// Verify with a modified message
const isInvalid = verifySignature('Modified message', signature, publicKey);
console.log('Modified message valid:', isInvalid); // false
यादृच्छिक डेटा सृजन
सुरक्षित यादृच्छिक डेटा उत्पन्न करना कई क्रिप्टोग्राफ़िक संचालन के लिए महत्वपूर्ण है, जैसे कुंजी, लवण और आरंभीकरण वैक्टर उत्पन्न करना।
const crypto = require('crypto');
// Generate random bytes
const randomBytes = crypto.randomBytes(16);
console.log('Random bytes:', randomBytes.toString('hex'));
// Generate a random string (Base64)
const randomString = crypto.randomBytes(32).toString('base64');
console.log('Random string:', randomString);
// Generate a random number between 1 and 100
function secureRandomNumber(min, max) {
// Ensure we have enough randomness
const range = max - min + 1;
const bytesNeeded = Math.ceil(Math.log2(range) / 8);
const maxValue = 256 ** bytesNeeded;
// Generate random bytes and convert to a number
const randomBytes = crypto.randomBytes(bytesNeeded);
const randomValue = randomBytes.reduce((acc, byte, i) => {
return acc + byte * (256 ** i);
}, 0);
// Scale to our range and shift by min
return min + Math.floor((randomValue * range) / maxValue);
}
// Example: Generate 5 random numbers
for (let i = 0; i < 5; i++) {
console.log(`Random number ${i+1}:`, secureRandomNumber(1, 100));
}
सुरक्षा सर्वोत्तम प्रथाएँ
क्रिप्टो मॉड्यूल का उपयोग करते समय, इन सर्वोत्तम प्रथाओं को ध्यान में रखें:
चेतावनी:
क्रिप्टोग्राफी जटिल है, और गलतियाँ गंभीर सुरक्षा कमजोरियाँ पैदा कर सकती हैं।
महत्वपूर्ण सुरक्षा सुविधाओं को लागू करते समय, किसी सुरक्षा विशेषज्ञ से परामर्श लें या विशिष्ट क्रिप्टोग्राफ़िक कार्यों के लिए डिज़ाइन की गई अच्छी तरह से स्थापित लाइब्रेरी का उपयोग करने पर विचार करें।
सारांश
Node.js Crypto :
हैश फ़ंक्शन
डेटा एकीकरण और फ़िंगरप्रिंटिंग
HMAC
प्रमाणीकरण और एकीकरण परीक्षण
सममित एन्क्रिप्शन
साझा कुंजियों से डेटा सुरक्षित करना
असममित एन्क्रिप्शन
सुरक्षित संचार और डिजिटल हस्ताक्षर
यादृच्छिक डेटा सृजन
क्रिप्टोग्राफ़िक कार्य
डिजीटल हस्ताक्षर
प्रामाणिकता सत्यापन
इन क्रिप्टोग्राफ़िक अवधारणाओं को समझकर और ठीक से लागू करके, आप सुरक्षित एप्लिकेशन बना सकते हैं जो संवेदनशील डेटा और संचार की सुरक्षा करते हैं।