Cloudflare PagesにそれなりにちゃんとBasic認証をかける | おそらくはそれさえも平凡な日々

前回の、社内プライベートポッドキャスト実現方法で、ポッドキャストサイトを静的配信しつつBasic認証をかけるというアイデアを書いた。しかし、Basic認証などなかなか使わなくなり、ネイティブでサポートしている静的ホスティングサービスも少ない。今回はCloudflare PagesのFunctions機能でリクエストをラップするミドルウェアを書けば実現できることが分かり、その方式を採用することにした。多少実装必要になるのと、認証周りを自前で書くのはあまりやりたくはないが、廉価に比較的省力で実現できるので受け入れる。 ネット上にいくつかサンプルは見つかるが、今回実装するにあたっては以下の点を留意した。 コード内に認証情報を載せない 複数ユーザーのIDとパスワードを管理できるようにする パスワードは定数時間比較してタイミング攻撃を防ぐ これらを以下のように解決することとした。 認証情報は環境変数

[Songmu]

blogged.

[yarumato]

“定数時間比較については、サボって普通の文字列比較をしていたら、同僚が指摘をしてくれた。持つべきものは優秀な同僚である。定数時間比較は、Node.jsにもcrypto.timingSafeEqualが標準搭載なので便利な世の中になった。”

[buzztaiki]

定数時間比較、こないだのbitwardenの記事で見たな。

[rgfx]

タイミング攻撃、こういうやつか　https://qiita.com/saka1_p/items/b1110fd0a1b736ee58a8

[mkis]

“定数時間比較”

[auient]

「パスワードは定数時間比較してタイミング攻撃を防ぐ」同僚さんうらやましい