Login Speichern

[Miquest]

Hallo liebes Forum,
ich habe eine Website aufgebaut (Serverseitig NodeJS mit Expressjs und Python Modulen) und habe dort ein Login Formular erstellt. Nun bin am überlegen, wie ich die angegebenen Logindaten sicher auf dem Server speichern kann, um sie dann programmatisch wieder abrufen zu können. Gibt es dazu eine Nodejs Bibliothek oder auch etwas für Python? Die Daten sollten verschlüsselt gespeichert werden, aber so, dass der User nicht dauernd seine Login Daten angeben muss, da diese alle 5min zum Datentransfer gebraucht werden.
Hat jemand eine Idee?

Beste Grüße,
Thorin

 

[floq0r]

Ich verstehe nicht worum es hier geht. Ist das ein Login mit dem sich die User auf deiner Seite authentifizieren oder mit der sich dein Script auf einer anderen Seite authentifiziert? Was meinst du mit "dass der User nicht dauernd seine Login Daten angeben muss"?

 

[Bagbag]

Logindaten werden nie rekonstruierbar gespeichert. Niemals (in diesem Kontext).

Heute kommen hier gewöhnlich Verfahren wie OIDC zum einsatz, bei denen beim Login am Server ein Token generiert wird. Im Falle von OIDC gibt es außerdem einen Refresh-Token dazu, womit der eigentliche Token erneuert werden kann, was nötig ist, da dieser nach relativ kurzer Zeit abläuft. Die Token speicherst du dann im Idealfall in HTTP-Only Cookies.

Wobei in deinem Fall OIDC evtl. overkill ist. Ein einfacher Token in Form eines zufälligen Strings (aus kryptografisch sicher erstellten zufälligen Bytes), den du gehasht in der Datenbank zum prüfen speicherst oder einen simplen JWT (spart Datenbankabfragen) mit Daten deiner wahl genügt wohl auch.

 

[Yuuri]

OIDC, JWT, ... Warum nicht ne stink normale Session mit Cookie? JWT mag im Einzelfall ganz nett sein, hat aber auch so seine Probleme.

Nun bin am überlegen, wie ich die angegebenen Logindaten sicher auf dem Server speichern kann, um sie dann programmatisch wieder abrufen zu können.

Username + gehashtes Passwort. Mindestens BCrypt oder Argon2 (BCrypt sollte bei < 1000 ms präferiert werden), kein MD5, SHA* o.ä.

Die Daten sollten verschlüsselt gespeichert werden

Verschlüsselt wird da gar nichts.

 

[Bagbag]

Warum nicht ne stink normale Session mit Cookie?

Habe ich doch auch mit "Ein einfacher Token in Form eines zufälligen Strings" genannt. Ob das nun Token oder Session genannt wird... ist Geschmackssache.

 

[Yuuri]

Ah ok, dann haben wir das ja geklärt.

 

[Miquest]

Ich verstehe nicht worum es hier geht. Ist das ein Login mit dem sich die User auf deiner Seite authentifizieren oder mit der sich dein Script auf einer anderen Seite authentifiziert? Was meinst du mit "dass der User nicht dauernd seine Login Daten angeben muss"?

Es geht darum, dass der User sich einmal einloggt und dann ein Microcontroller dem Rest erledigt.
SSO sozusagen.
Besten Dank schonmal für die Antworten!

Ergänzung (15. September 2022)

Wobei SSO ja mit einer Session möglich wäre, sofern der Microcontroller nicht heruntergefahren wird...
Ich denke, das werde ich machen 👌