javascript - 是否可以在 SJCL 中使用 bcrypt 或 scrypt 作为 PBKDF2 的替代品？

Question

我一直在使用这个库，我真的很喜欢它，但从我读到的内容来看，PBKDF2 比 bcrypt 或 scrypt 更容易受到暴力攻击。我遇到了关于 adding scrypt support 的问题，但似乎没有明确的答案。

理想情况下，我想简单地替换 PBKDF2 功能，但我对 SJCL 的内部工作原理还不够熟悉，不知道这是否可行。

如果可能的话，你可以使用类似这样的东西 pure JS bcrypt我想实现起来相当容易。

Answer 1

是的，这是可能的，但需要更多的手动工作。首先你需要用 scrypt 编译 sjcl:

./configure --with-scrypt
make

然后您将不得不使用 scrypt 生成 key 对:

var salt = sjcl.random.randomWords(2,0);
var key = sjcl.misc.scrypt(password, salt);
var encrypted = sjcl.json.encrypt(key, original);
var decrypted = sjcl.json.decrypt(key, encrypted);