Bcrypt-generator online: hash genereren en controleren

bcrypt is een methode voor het hashen van wachtwoorden op basis van het Blowfish-versleutelingsalgoritme, die opzettelijk veel rekenkracht vergt. Versleuteling kan met de juiste sleutel ongedaan worden gemaakt, een hash niet: applicaties slaan alleen de hash op en controleren een wachtwoord door het opnieuw te hashen. Snelle hashes zoals SHA-256 zijn bedoeld voor checksums; voor wachtwoorden gebruik je langzame methoden zoals bcrypt of Argon2id.

Een bcrypt-hash van 60 tekens. Voor de platte tekst zap-hosting met cost factor 12 ziet die er bijvoorbeeld zo uit: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. De hash begint met versie $2b$, gevolgd door de cost factor, een salt van 22 tekens en een hashwaarde van 31 tekens. Omdat de salt bij elke uitvoering opnieuw willekeurig wordt gegenereerd, krijg je ook voor dezelfde tekst telkens een andere hash. De controle met ‘Hash controleren’ werkt toch.

Plak de hash in het gedeelte ‘Hash controleren’, voer de oorspronkelijke tekst in en klik op ‘Hash controleren’. Het resultaat is ‘Komt overeen’, ‘Komt niet overeen’ of ‘Ongeldig bcrypt-hashformaat’. Hashes met de voorvoegsels $2a$, $2b$ en $2y$ worden herkend, dus ook $2y$-hashes uit PHP. Een cost factor buiten het bereik van 4 tot 31 geldt als ongeldig. De tool genereert nieuwe hashes met het voorvoegsel $2b$.

Nee, dat is technisch niet mogelijk. Bcrypt is een eenrichtingsfunctie: er bestaat geen omgekeerde bewerking waarmee je uit een hash de oorspronkelijke tekst kunt terughalen. Applicaties controleren een wachtwoord daarom door de ingevoerde tekst opnieuw te hashen en met de opgeslagen hash te vergelijken (precies wat het onderdeel ‘Hash controleren’ hierboven doet), niet door de hash te ‘ontsleutelen’.

De schuifregelaar loopt van 4 tot 15 en staat standaard op 12. Bij elke waarde toont de tool een beoordeling: tot en met 8 alleen om te testen, 9 en 10 onder het aanbevolen minimum, 11 goede beveiliging, 12 geschikt voor productiegebruik, 13 en 14 merkbaar langzamer, 15 aanzienlijk langere rekentijd. Elke stap hoger verdubbelt de rekentijd.

Bcrypt voegt bij elke hashbewerking automatisch een willekeurige salt toe, die deel uitmaakt van de resulterende hash. Daarom levert dezelfde platte tekst bij elke aanroep een andere hash van 60 tekens op. Dat is de bedoeling en biedt extra bescherming tegen rainbowtable-aanvallen. Voor verificatie volstaat de sectie ‘Hash controleren’, omdat de salt al in de opgeslagen hash zit.

Ja, bcrypt gebruikt alleen de eerste 72 bytes van de tekst; alles daarna heeft geen invloed op de hash. Tekens zoals ä nemen 2 bytes in beslag en emoji's vaak 4, dus je bereikt de grens eerder dan bij 72 tekens. De tool telt de bytes en toont bij het genereren en controleren een waarschuwing zodra je tekst langer is dan 72 bytes.

Het hashen en controleren gebeurt met de bibliotheek bcryptjs volledig in je browser: je tekst wordt niet naar een server verzonden en nergens opgeslagen. De tool is bedoeld om te testen en te leren. Voor productiegebruik hash je wachtwoorden rechtstreeks in je applicatie met een betrouwbare bcrypt-bibliotheek.