Estou estudando sobre timing attack e encontrei essa pergunta relacionada ao tema, e identifiquei o problema que comparação de string hash pode provocar nesse tipo de ataque.
O problema é que temos microsserviços que são APIs fechadas para uso por outras APIs internas, como se fosse um Back-end for Back-end e para que essas APIs internas sejam consumidas, algumas restrições são feitas. Uma delas é a verificação de uma chave de API que fica em um header x-api-key
, onde a verificação é feita por um middleware com um código semelhante a esse:
function checkApiKey(req, res, next) {
const { 'x-api-key': apiKey } = req.headers
if(apiKey !== process.env.API_KEY) {
throw new InvalidApiKey();
}
...
return next()
}
O código acima não é muito seguro com essa comparação !==
. Eu esperava o uso de alguma biblioteca para realizar essa comparação, mas pelo visto o desenvolvedor que fez o código não conhece sobre o problema de TA. Na verdade, os sistemas usam algumas soluções duvidosas e bem questionáveis.
As chaves de APIs podem ser no formato semelhante à essa:
89JhP8rekXxwJMEr9khQuVKAVrdKaOfp2jCc5hV54BAbAHoeujAGvjGxTZkdBSnMXpHzijl8SC8WNLgoeWKATM3STe5Se9IM22NmerIPlcp71zwfX7O112OkY0K2T3dz
Dito isto, sabendo que eu preciso de uma solução que resulte em tempo constante de operação, como eu resolveria essa comparação de forma segura em Node.js?
Uma das respostas menciona a função hash_compare
para comparação de hashes. Qual seria a equivalente em Node.js?