Generator bcrypt online: twórz i sprawdzaj hashe

bcrypt to oparta na szyfrze Blowfish metoda haszowania haseł, która celowo wymaga dużej mocy obliczeniowej. Szyfrowanie można odwrócić za pomocą odpowiedniego klucza, ale haszowania nie: aplikacje przechowują tylko hash i sprawdzają hasło, haszując je ponownie. Szybkie funkcje haszujące, takie jak SHA-256, służą do tworzenia sum kontrolnych. Do haseł używa się wolnych metod, takich jak bcrypt lub Argon2id.

60-znakowy hash bcrypt. Dla tekstu jawnego zap-hosting przy współczynniku kosztu 12 wygląda na przykład tak: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Zaczyna się od wersji $2b$, po której następują współczynnik kosztu, 22 znaki soli i 31 znaków wartości hash. Ponieważ sól jest losowana na nowo za każdym razem, nawet dla tego samego tekstu otrzymasz inny hash, ale sprawdzanie przez „Sprawdź hash” nadal zadziała.

Wklej hash w sekcji „Sprawdź hash”, wpisz oryginalny tekst i kliknij „Sprawdź hash”. Wynik to „Zgodność”, „Brak zgodności” lub „Nieprawidłowy format hasha bcrypt”. Narzędzie rozpoznaje hashe z prefiksami $2a$, $2b$ i $2y$, w tym hashe $2y$ z PHP. Cost Factor spoza zakresu od 4 do 31 jest uznawany za nieprawidłowy. Nowe hashe narzędzie tworzy z prefiksem $2b$.

Nie — jest to technicznie niemożliwe. Bcrypt jest funkcją jednokierunkową: nie istnieje operacja, która pozwala odzyskać pierwotny tekst z hasha. Dlatego aplikacje sprawdzają hasło, ponownie haszując wprowadzony tekst i porównując wynik z zapisanym hashem (tak działa sekcja „Sprawdź hash” powyżej), a nie „odszyfrowując” hash.

Suwak obejmuje wartości od 4 do 15, a domyślna wartość to 12. Dla każdej wartości narzędzie wyświetla ocenę: do 8 — tylko do testów, 9 i 10 — poniżej zalecanego minimum, 11 — dobry poziom bezpieczeństwa, 12 — odpowiednie do środowiska produkcyjnego, 13 i 14 — zauważalnie wolniejsze obliczenia, 15 — znacznie dłuższy czas obliczeń. Każdy kolejny poziom podwaja czas obliczeń.

Bcrypt automatycznie dodaje losową sól przy każdym haszowaniu. Jest ona częścią wynikowego hasza. Dlatego ten sam tekst przy każdym wywołaniu daje inny 60-znakowy hasz — to zamierzone działanie, które dodatkowo chroni przed atakami z użyciem tęczowych tablic. Do weryfikacji wystarczy sekcja „Sprawdź hasz”, ponieważ sól jest już zawarta w zapisanym haszu.

Tak, bcrypt wykorzystuje tylko pierwsze 72 bajty tekstu. Wszystko, co znajduje się dalej, nie wpływa na hash. Znaki takie jak ą zajmują 2 bajty, a emoji często 4, więc limit można osiągnąć przed 72 znakami. Narzędzie liczy bajty i wyświetla ostrzeżenie podczas tworzenia i sprawdzania hasha, gdy twój tekst przekracza 72 bajty.

Haszowanie i sprawdzanie odbywa się za pomocą biblioteki bcryptjs w całości w twojej przeglądarce: twój tekst nie jest wysyłany na żaden serwer ani nigdzie zapisywany. Narzędzie służy do testowania i nauki. W środowisku produkcyjnym haszuj hasła bezpośrednio w swojej aplikacji za pomocą zaufanej biblioteki bcrypt.