Est-il possible d'utiliser bcrypt ou scrypt comme alternative à PBKDF2 dans SJCL?

Question

J'utilise la bibliothèque et je l'aime vraiment, mais d'après ce que j'ai lu, PBKDF2 est un peu plus vulnérable aux attaques par force brute que bcrypt ou scrypt. Je suis tombé sur cette question à propos de adding scrypt support, mais il ne semble pas y avoir de réponse claire.

Idéalement, je voudrais simplement remplacer la fonctionnalité PBKDF2, mais je ne connais pas suffisamment le fonctionnement interne de SJCL pour savoir si cela est possible.

Si c'était possible, vous pouvez utiliser quelque chose comme cette implémentation pure JS bcrypt assez facilement j'imagine.

Answer 1

Oui c'est possible mais nécessite plus de travail manuel. D'abord, vous devez compiler sjcl avec scrypt:

./configure --with-scrypt 
make 

Ensuite, vous devrez utiliser scrypt pour générer une paire de clés:

var salt = sjcl.random.randomWords(2,0); 
var key = sjcl.misc.scrypt(password, salt); 
var encrypted = sjcl.json.encrypt(key, original); 
var decrypted = sjcl.json.decrypt(key, encrypted);