مولد بكريبت

يقوم مولد bcrypt بتحويل كلمة مرور عادية إلى تجزئة bcrypt: سلسلة مكونة من 60 حرفًا تقوم بتخزين كلمة المرور بأمان دون الاحتفاظ بكلمة المرور نفسها. Bcrypt هي وظيفة تجزئة كلمة المرور صممها Niels Provos وDavid Mazieres في عام 1999، وهي مبنية على تشفير Blowfish، ولا تزال الخيار الافتراضي في أطر عمل مثل Laravel وSpring Security وDjango (كواحدة من العديد من التجزئة المدعومة). تقوم هذه الأداة بإنشاء تجزئة من أي كلمة مرور، وفي وضع التحقق، تتحقق مما إذا كانت كلمة المرور تتطابق مع التجزئة الموجودة لديك بالفعل.

يقوم Bcrypt بأمرين لا يقوم بهما SHA-256 الخام. فهو يمتص كل تجزئة تحتوي على 16 بايت عشوائي مخبوز في الإخراج، لذلك يحصل مستخدمان لهما نفس كلمة المرور على تجزئات مختلفة وتكون جداول قوس قزح المحسوبة مسبقًا عديمة الفائدة. وهو بطيء عمدًا: يتحكم عامل التكلفة من 4 إلى 31 في عدد جولات توسيع المفاتيح التي يتم تشغيلها، مما يضاعف العمل مع كل خطوة. هذا البطء هو بيت القصيد. تتيح التجزئة السريعة للمهاجم الذي لديه قاعدة بيانات مسربة تجربة مليارات التخمينات في الثانية على وحدة معالجة الرسومات؛ تستغرق تجزئة cost-12 bcrypt خمس ثانية أو نحو ذلك من وقت وحدة المعالجة المركزية، مما يؤدي إلى تقييد المهاجم بعدد قليل من التخمينات في الثانية لكل نواة، وهو ما يمنع قاعدة البيانات المسروقة من التحول إلى قائمة كلمات مرور النص العادي بين عشية وضحاها.

تنسيق الإخراج يصف نفسه بنفسه. تجزئة مثل $2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW تحتوي على أربعة حقول مفصولة بعلامات الدولار: الإصدار (2b)، والتكلفة (12)، ثم ملح Base64 مكون من 22 حرفًا متبوعًا بملخص مكون من 31 حرفًا. نظرًا لأن الملح والتكلفة ينتقلان داخل التجزئة، فإن التحقق لا يحتاج إلا إلى كلمة المرور وسلسلة التجزئة، وهو بالضبط ما يستخدمه وضع التحقق هنا.

كل شيء يعمل من جانب العميل في متصفحك. كلمة المرور التي تكتبها، والتجزئة التي تلصقها، والملح الذي يتم إنشاؤه لا يترك علامة التبويب أبدًا، ولا يضغط على أي خادم، ولا يهبط في أي سجل. تعرض لوحة الشبكة الخاصة بأدوات المطور الخاصة بك أن الطلبات الوحيدة هي فحص الاستخدام وسجل الاستخدام، اللذين يحملان إعداد التكلفة ولكن لا يحملان كلمة المرور أو التجزئة أبدًا. يتم تنفيذ خوارزمية bcrypt في TypeScript خالص، لذا تعمل الأداة أيضًا دون اتصال بالإنترنت بمجرد تحميل الصفحة. الإخراج متوافق مع OpenBSD، وPHP Wordway_hash (PASSWORD_BCRYPT)، ومكتبات Node bcrypt، وأدوات التحقق bcrypt في كل إطار عمل رئيسي، لذلك يتم التحقق من صحة التجزئة التي تم إنشاؤها هنا في تطبيقك والعكس صحيح.

الطريقة السريعة لتجربة مولد تجزئة bcrypt هي العينة. في الإنشاء، اضغط على تحميل العينة لملء العنصر الأساسي الصحيح لبطارية الحصان، واترك عامل التكلفة عند 10، ثم اضغط على إنشاء تجزئة. تحصل على سلسلة مكونة من 60 حرفًا تبدأ من $2b$10$، والضغط على إنشاء تجزئة مرة أخرى يعطي سلسلة مختلفة، لأن الملح جديد في كل مرة. في التحقق، تملأ عينة التحميل التجزئة المخزنة ونفس كلمة المرور، والتحقق من تطابق التقارير (التكلفة 10). قم بتغيير الحرف الأول إلى الحرف C الكبير وسيبلغ عن عدم التطابق. تلك الرحلة ذهابًا وإيابًا هي ما يجب أن يثبته منشئ كلمات مرور bcrypt.