تخزين الـ Passwords بـ Argon2id: صح من أول مرة

import crypto from "node:crypto";

// ❌ sha256 للـ passwords
const sha = (s) => crypto.createHash("sha256").update(s).digest("hex");

// 1) نفس الـ password = نفس الـ hash (اللي عرف واحد، عرف الكل)
console.log(sha("123456") === sha("123456"));

// 2) سريع جدًّا: المهاجم بيجرّب ملايين في التانية
const t0 = performance.now();
let n = 0;
while (performance.now() - t0 < 200) {
  sha(`guess${n++}`);
}
console.log(`sha256: أكتر من ${Math.floor((n * 5) / 100000) * 100000} تخمينة في التانية على core واحد`);

$ node main.js
true
sha256: أكتر من 400000 تخمينة في التانية على core واحد

import argon2 from "argon2";

const OPTS = { type: argon2.argon2id, memoryCost: 19456, timeCost: 2, parallelism: 1 }; // توصيات OWASP

const t0 = performance.now();
const hash = await argon2.hash("correct horse battery staple", OPTS);
const ms = performance.now() - t0;

console.log(hash);
console.log("وقت الـ hash:", ms > 10 ? "عشرات الـ milliseconds" : "سريع");
console.log("نفس الـ password، hash تاني:", hash !== (await argon2.hash("correct horse battery staple", OPTS)));
console.log("verify صح:", await argon2.verify(hash, "correct horse battery staple"));
console.log("verify غلط:", await argon2.verify(hash, "correct horse battery stapler"));

// يوم ما ترفع الـ parameters: الـ hashes القديمة لسه شغالة، وبتعرف مين محتاج يتعاد
console.log("محتاج rehash؟", argon2.needsRehash(hash, { ...OPTS, timeCost: 3 }));

$ node main.js
$argon2id$v=19$m=19456,p=1,t=2$hHQaWYcAYOuGYiehZTFRaw$9HYQ0X8ixSeuqqpNey2DaDlrNta49B02f6oAHvl+e84
وقت الـ hash: عشرات الـ milliseconds
نفس الـ password، hash تاني: true
verify صح: true
verify غلط: false
محتاج rehash؟ true

import argon2 from "argon2";

const OPTS = { type: argon2.argon2id, memoryCost: 19456, timeCost: 2, parallelism: 1 };
const users = new Map([["[email protected]", await argon2.hash("S3cure-pass!", OPTS)]]);

// ❌ بيرد بسرعة لو الإيميل مش موجود ← المهاجم يعرف مين متسجل من الوقت
async function login(email, password) {
  const hash = users.get(email);
  if (!hash) return "مش موجود";
  return (await argon2.verify(hash, password)) ? "تمام" : "password غلط";
}

async function timed(email) {
  const t0 = performance.now();
  const r = await login(email, "wrong-pass");
  return `${email}: ${r} (${performance.now() - t0 > 5 ? "بطيء" : "سريع جدًّا"})`;
}
console.log(await timed("[email protected]"));
console.log(await timed("[email protected]"));

$ node main.js
[email protected]: password غلط (بطيء)
[email protected]: مش موجود (سريع جدًّا)

import express from "express";
import argon2 from "argon2";

const app = express();
app.use(express.json());
const users = new Map(); // email ← { hash }

// hash قديم بـ parameters ضعيفة (من سنة فاتت)
const OLD = { type: argon2.argon2id, memoryCost: 4096, timeCost: 1, parallelism: 1 };
users.set("[email protected]", { hash: await argon2.hash("Old-but-good-1", OLD) });


const OPTS = { type: argon2.argon2id, memoryCost: 19456, timeCost: 2, parallelism: 1 };
const COMMON = new Set(["password1234", "123456789012", "qwertyuiop12"]);
const DUMMY = await argon2.hash("dummy-password-for-timing", OPTS);
const FAIL = { error: "الإيميل أو الـ password غلط" };

app.post("/register", async (req, res) => {
  const email = String(req.body.email ?? "").trim().toLowerCase();
  const password = String(req.body.password ?? "");
  if (password.length < 12 || password.length > 128 || COMMON.has(password.toLowerCase())) {
    return res.status(422).json({ error: "password ضعيف: 12 حرف على الأقل ومش من المشهورين" });
  }
  if (users.has(email)) return res.status(409).json({ error: "الإيميل متسجل" });
  users.set(email, { hash: await argon2.hash(password, OPTS) });
  res.status(201).json({ ok: true });
});

app.post("/login", async (req, res) => {
  const email = String(req.body.email ?? "").trim().toLowerCase();
  const password = String(req.body.password ?? "");
  const user = users.get(email);
  if (!user) {
    await argon2.verify(DUMMY, password);
    return res.status(401).json(FAIL);
  }
  if (!(await argon2.verify(user.hash, password))) return res.status(401).json(FAIL);
  const rehashed = argon2.needsRehash(user.hash, OPTS);
  if (rehashed) user.hash = await argon2.hash(password, OPTS);
  res.json({ ok: true, rehashed });
});

app.listen(3000, () => console.log("http://localhost:3000"));

$ node main.js
http://localhost:3000

→ POST /register
  {"email":"[email protected]","password":"short"}
← 422 Unprocessable Entity
{
  "error": "password ضعيف: 12 حرف على الأقل ومش من المشهورين"
}

→ POST /register
  {"email":"[email protected]","password":"password1234"}
← 422 Unprocessable Entity
{
  "error": "password ضعيف: 12 حرف على الأقل ومش من المشهورين"
}

→ POST /register
  {"email":" [email protected] ","password":"long enough passphrase"}
← 201 Created
{
  "ok": true
}

→ POST /register
  {"email":"[email protected]","password":"another long passphrase"}
← 409 Conflict
{
  "error": "الإيميل متسجل"
}

→ POST /login
  {"email":"[email protected]","password":"long enough passphrase"}
← 200 OK
{
  "ok": true,
  "rehashed": false
}

→ POST /login
  {"email":"[email protected]","password":"wrong"}
← 401 Unauthorized
{
  "error": "الإيميل أو الـ password غلط"
}

→ POST /login
  {"email":"[email protected]","password":"wrong"}
← 401 Unauthorized
{
  "error": "الإيميل أو الـ password غلط"
}

→ POST /login
  {"email":"[email protected]","password":"Old-but-good-1"}
← 200 OK
{
  "ok": true,
  "rehashed": true
}

→ POST /login
  {"email":"[email protected]","password":"Old-but-good-1"}
← 200 OK
{
  "ok": true,
  "rehashed": false
}