Bcrypt-generator online: skapa och verifiera hash

bcrypt är en metod för att hasha lösenord som bygger på Blowfish-chiffret och avsiktligt kräver mycket beräkningskraft. Kryptering kan reverseras med rätt nyckel, men det kan inte en hash: program lagrar bara hashen och kontrollerar ett lösenord genom att hasha det igen. Snabba hashfunktioner som SHA-256 är avsedda för kontrollsummor. För lösenord används långsamma metoder som bcrypt eller Argon2id.

En bcrypt-hash på 60 tecken. För klartexten zap-hosting med kostnadsfaktor 12 kan den till exempel se ut så här: $2b$12$hr8ClvGGH01FXNQBc4g7uurz4HpChG/mbHCsyXJtzOdLgNChQX/zy. Den börjar med versionen $2b$, följd av kostnadsfaktorn, ett salt på 22 tecken och ett hashvärde på 31 tecken. Eftersom saltet slumpas fram på nytt vid varje körning får du en annan hash varje gång, även för samma text. Kontroll med ”Verifiera hash” fungerar ändå.

Klistra in hashen i avsnittet ”Verifiera hash”, ange originaltexten och klicka på ”Verifiera hash”. Resultatet blir ”Matchar”, ”Matchar inte” eller ”Ogiltigt bcrypt-hashformat”. Hashar med prefixen $2a$, $2b$ och $2y$ känns igen, även $2y$-hashar från PHP. En kostnadsfaktor utanför intervallet 4 till 31 räknas som ogiltig. Verktyget skapar nya hashar med prefixet $2b$.

Nej – det är tekniskt omöjligt. Bcrypt är en envägsfunktion: det går inte att återskapa den ursprungliga klartexten från en hash. Därför kontrollerar program ett lösenord genom att hasha den angivna texten på nytt och jämföra den med den sparade hashen (precis som i avsnittet ”Kontrollera hash” ovan) – inte genom att ”dekryptera” hashen.

Reglaget går från 4 till 15 och standardvärdet är 12. För varje värde visar verktyget en bedömning: upp till 8 är endast för testning, 9 och 10 ligger under det rekommenderade minimivärdet, 11 ger god säkerhet, 12 lämpar sig för produktionsmiljö, 13 och 14 är märkbart långsammare och 15 tar betydligt längre tid att beräkna. Varje steg upp fördubblar beräkningstiden.

Bcrypt lägger automatiskt till ett slumpmässigt salt vid varje hashning. Saltet ingår i den resulterande hashen. Därför ger samma klartext en ny hash på 60 tecken varje gång – det är avsiktligt och ger extra skydd mot rainbow table-attacker. Du kan ändå använda avsnittet ”Kontrollera hash”, eftersom saltet redan finns i den sparade hashen.

Ja, bcrypt använder bara de första 72 byten av texten. Allt därefter påverkar inte hashen. Tecken som ä tar 2 byte och emojier ofta 4, så gränsen nås snabbare än efter 72 tecken. Verktyget räknar antalet byte och visar en varning när du skapar eller verifierar en hash om din text är längre än 72 byte.

Hashning och verifiering sker helt i din webbläsare med biblioteket bcryptjs: din text skickas inte till någon server och sparas ingenstans. Verktyget är avsett för testning och lärande. I produktionsmiljö bör du hasha lösenord direkt i din applikation med ett tillförlitligt bcrypt-bibliotek.