Node.JS，我的密码在RAM中安全吗？

Question

我有一个小的webApp，允许人们使用Express和Node.JS创建个人页面。 每个页面都是一个对象，这意味着您可以使用： new privatePage(name, pswd)创建一个新页面，因此所有密码都存储在该对象的pswd属性中。

我的问题是，它们在这里安全吗，还是容易“砍死”它们？

编辑：我的密码平均平均最多只需要存储24小时，因为如果页面在短时间内处于非活动状态，它们将自行删除。

Answer 1

这取决于您如何定义“安全”。

作为安全性最佳实践，您应该假设RAM中没有安全的东西。 错误的软件和OS代码可能具有导致缓冲区溢出的漏洞，它们可能使熟练的攻击者可以控制服务器的内存段，其中可能包含敏感数据，例如页面密码。 值得注意的是，探索缓冲区溢出问题是一项艰巨的任务，但是由于Internet的存在，任何人都可以创建任何脚本小子都可以运行的工具。 因此，最佳做法是使敏感数据在内存中短暂存在，以减少暴露于此类问题的风险。

现在，另一方面，您可能对更新服务器上的安全补丁有非常可靠的政策，并且可以在宣布安全问题后尽快执行。 在那种情况下，我想说这对您来说风险较低，但是并不能消除100％被黑客入侵的机会。 这就是为什么我首先说这取决于您希望环境有多“安全”。

Answer 2

他们绝对不安全 。

您使用bcrypt来存储它们，这是世界上使用的最新最好的哈希算法。 如果使用此密码，那么存储在数据库中的密码绝对是安全的。

希望这对您有所帮助。