[UPDATE] 解決弱點Insecure block cipher mode, AES CBC安全性上不足所以需要改為GCM模式來做加密

jack

2023-08-31 463c7f43eb7e530967683cdcacffcef786a4e817

 PAMapp/shared/services/login.service.ts

@@ -1,7 +1,9 @@
import { http } from "./httpClient";
import { AxiosResponse } from 'axios';
import _ from "lodash";
import AES from 'crypto-js/aes';
import CryptoJS from "crypto-js";
import forge from "node-forge";
// import CryptoJS from "asmcrypto-js";

import { ConsultantLoginInfo } from "../models/ConsultantLoginInfo";
import { LoginRequest } from "../models/loginRequest.model";
@@ -9,7 +11,6 @@
import { LoginVerify } from "../models/loginVerify.model";
import { OtpInfo } from "../models/otpInfo.model";
import { RegisterInfo } from "../models/registerInfo";
import CryptoJS from "crypto-js";

class LoginService {
    /** 顧客登入-發送OTP **/
@@ -86,17 +87,25 @@

  /** 顧問登入 **/
  logInToConsultant(consultantDto:ConsultantLoginInfo, verificationCode: string):Promise<AxiosResponse<LoginSuccessToken>>{
    const plaintext = consultantDto.password;
    const key = "PAM KEY";
    const iv = "0123456789abcdef";
    const keyBytes = CryptoJS.enc.Utf8.parse(key);
    const ivBytes = CryptoJS.enc.Utf8.parse(iv);
    const encrypted =  CryptoJS.AES.encrypt(plaintext, keyBytes, { iv: ivBytes, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 });

    return http.post(`/eService/authenticate/${verificationCode}`, { ...consultantDto, password: encrypted.toString() });
  const iv = "0123456789abcdef";
  const key = "PAMKEY1234567890";
  const cipher = forge.cipher.createCipher('AES-GCM', key);
  cipher.start({
    iv:iv
  });
  cipher.update(forge.util.createBuffer(forge.util.encodeUtf8(consultantDto.password)));
  cipher.finish();
  const encry = cipher.output;
  var tag = cipher.mode.tag;
  const encryptedPassword = window.btoa(encry.data+tag.data);

    return http.post(`/eService/authenticate/${verificationCode}`, { ...consultantDto, password: encryptedPassword});
  }


  async logout(): Promise<void> {
    return http.post('/logout');
  }
}

export default new LoginService();