Cómo usar la librería crypto en Node.js

Cómo usar la librería crypto en Node.js

Resumen

Este artículo explica de forma práctica y segura cómo funciona un script de ejemplo que cifra y descifra datos con la librería crypto de Node.js. El script usa PBKDF2 para derivar claves a partir de una contraseña y AES 256 GCM para cifrado autenticado. El formato de salida es una cadena JSON con los elementos necesarios para la descifrado en base64.

Qué hace el script

El script genera aleatoriamente una salt y un iv, deriva una clave de 256 bits con PBKDF2 SHA256 y un número elevado de iteraciones para aumentar el coste de fuerza bruta, cifra los datos con AES 256 GCM y devuelve una cadena JSON que incluye los campos v salt iv tag ct codificados en base64. Ese JSON es reversible siempre que se disponga de la contraseña correcta.

Conceptos clave

PBKDF2 aumenta la seguridad de contraseñas débiles aumentando el coste computacional de la derivación de la clave. AES 256 GCM proporciona cifrado simétrico y autenticación de los datos mediante una etiqueta auth tag. Almacenar salt iv tag y ct en base64 permite compartir la cadena resultante de forma sencilla.

Uso básico del script

El script ofrece cuatro acciones principales

1 encrypt para cifrar texto corto. Ejemplo de uso conceptual: node secret-encode.js encrypt texto_secreto tu_contraseña

2 encrypt-file para cifrar un archivo. Ejemplo conceptual: node secret-encode.js encrypt-file ruta_archivo tu_contraseña

3 decrypt para descifrar una cadena JSON codificada. Ejemplo conceptual: node secret-encode.js decrypt cadena_json_codificada tu_contraseña

4 decrypt-file para descifrar y escribir resultado en un archivo. Ejemplo conceptual: node secret-encode.js decrypt-file cadena_json_codificada tu_contraseña archivo_salida

Notas sobre la cadena JSON

El resultado del cifrado es una cadena JSON que contiene al menos los siguientes elementos en base64: v salt iv tag ct. Comparte esa cadena públicamente si necesitas, pero nunca compartas la contraseña. Envía la contraseña por un canal seguro separado como llamada, Signal o similar.

Cómo descifrar el ejemplo que recibiste

Si has recibido una cadena JSON codificada como la del ejemplo, copia exactamente esa cadena en un archivo de texto llamado encoded.json usando tu editor favorito. Luego en la terminal ejecuta el script indicando la acción decrypt y pasando como segundo argumento la cadena JSON y como tercer argumento la contraseña. En la mayoría de shells es recomendable encerrar la cadena JSON entre comillas simples para evitar problemas con caracteres especiales, es decir utiliza comillas simples en la línea de comandos para el argumento que contiene la cadena JSON. Alternativamente puedes abrir Node y escribir un pequeño script que lea encoded.json y llame a la función de descifrado del módulo, o bien modificar temporalmente el script para que lea la cadena desde un archivo y así evitar complicaciones con el manejo de comillas en la línea de comandos.

Ejemplo práctico de flujo seguro

1 Guardar la cadena JSON en encoded.json con un editor seguro.

2 Guardar la contraseña en password.txt si no quieres teclearla en la terminal, manteniendo permisos restrictivos sobre ese archivo.

3 Ejecutar el proceso de descifrado en un entorno controlado y asegurarte de borrar encoded.json y password.txt cuando ya no sean necesarios.

Buenas prácticas de seguridad

Usar contraseñas largas y únicas, incrementar el valor de iteraciones PBKDF2 para entornos donde el coste computacional adicional es aceptable, y proteger la contraseña utilizando canales separados. Evitar almacenar contraseñas en repositorios y dar preferencia a gestores de secretos o servicios de vault en producción.

Por qué elegir Q2BSTUDIO

En Q2BSTUDIO somos especialistas en desarrollo de software y aplicaciones a medida con enfoque en seguridad y uso de tecnologías avanzadas como inteligencia artificial. Si necesitas una solución de software a medida o una aplicación multiplataforma robusta visita desarrollo de aplicaciones y software a medida. Si tu prioridad es proteger datos y sistemas contamos con servicios de ciberseguridad y pentesting profesionales que te ayudan a cerrar vectores de ataque, más información en servicios de ciberseguridad y pentesting.

Servicios complementarios

Nuestro equipo también ofrece soluciones en inteligencia artificial para empresas, integración con servicios cloud aws y azure, servicios inteligencia de negocio y dashboards con power bi, agentes IA para automatizar tareas y asesoramiento para migraciones seguras a la nube. Palabras clave importantes para este ámbito incluyen aplicaciones a medida software a medida inteligencia artificial ciberseguridad servicios cloud aws azure servicios inteligencia de negocio ia para empresas agentes IA power bi.

Contacto y próximos pasos

Si quieres que adaptamos este patrón de cifrado y gestión de claves a tu proyecto o que integremos cifrado en una plataforma empresarial, ponte en contacto con Q2BSTUDIO y te asesoramos para diseñar una solución segura, escalable y acorde a las buenas prácticas del sector.