> No se si está realizando su trabajo de forma síncrona o asíncrona. ¿Cómo puedo saber cuando un proceso de ejecuta de forma asíncrona o no?

En teoría, si una función usa callbacks, es una función asíncrona. Si una función retorna un valor, es síncrona.

> No estoy seguro si es la forma mas recomendable de hacer el login

Es la forma estándar que la mayoría de aplicaciones utilizan: una petición a la base de datos y se crea un objeto en sesión almacenando los datos del usuario y  opcionalmente, se crea una cookie que almacene el token de sesión.

Existen diversas librerías para [Node.js](https://es.stackoverflow.com/tagged/nodejs) que te permiten automatizar en gran medida este proceso. Una de las más conocidas y usadas es [PassportJS](http://passportjs.org) pero también puedes hacer una atenticación basada en tokens como es el caso de [JWT](https://jwt.io/introduction/).

### Usando estrategia local

Es realmente sencillo. Lo único que tienes que hacer son dos cosas:

1. Añadir un tipo de estrategia
2. Crear un middleware para usarla

En caso quieras una estrategia *local*, es decir, autenticación simple y directa, solo necesitas instalar el paquete [`passport-local`](https://npmjs.com/package/passport-local), instanciarlo y pasarle una función que será la que haya la autenticación.

**UserRepository.js**

    export default class UserRepository {
      login (username, password) {
        const salt = Bcrypt.genSaltSync(10);
        let hash = Bcrypt.hashSync(password, salt);
    
        return new Promise((resolve, reject) => {
          User
           .findOne({ username, password: hash })
           .then((user) => {
             resolve(user);
           });
        }
      }
    }

**Authentication.js**

    passport.use(
      new LocalStrategy((username, password, done) => {
        UserRepository
          .login(username, password)
          .then((user) => {
            done(null, user);
          });
      });
    );

Por último necesitas añadir passport a tu ruta de login.

    app.post('login', passport.authenticate('login', {
      successRedirect: '/home',
      failureRedirect: '/login',
      failureFlash: 'Usuario o contraseña incorrecta'
    });

### Usando estrategia JWT

Este tipo de estategia te permite autenticar vía JWT. JWT es un estándar abierto para la comunicación segura basado en JSON ([RFC7519](https://tools.ietf.org/html/rfc7519)). Este estándar usa distintos algoritmos para firmar la información a contenedir, que puede ser [`HMAC`](https://es.wikipedia.org/wiki/HMAC) o [`RSA`](https://es.wikipedia.org/wiki/RSA). Puedes ver información con más detalle sobre JWT [aquí](https://jwt.io/introduction/)

    let options = {
      // extrae la cabecera HTTP 'Authorization'
      opts.jwtFromRequest: ExtractJwt.fromAuthHeader(),
      // secreto con el cual se crea el token
      opts.secretOrKey: 'secret'
    }

    passport.use(new JwtStrategy(opts, function(token, done) {
        // intenta decodificar el token. Si tiene éxito
        // devuelve true
        try {
          let decoded = jwt.verify(token);
          done(null, true);
        } catch (e) { // caso contrario, false
          done(e, false);
        }
    }));

Ahora, puedes poner esta autenticación en un middleware para las rutas que desees. Cuando el token haya expirado o no sea válido, rediriges hacia una página en concreto, por ejemplo login.

    router
      .get('/home', passport.authenticate('jwt', {
        failureRedirect: '/login'
      })
      ... otras rutas