Bcrypt-generator

Ein bcrypt-Generator verwandelt ein einfaches Passwort in einen bcrypt-Hash: eine 60-Zeichen-Zeichenfolge, die das Passwort sicher speichert, ohne das Passwort selbst zu behalten. Bcrypt ist eine Passwort-Hashing-Funktion, die 1999 von Niels Provos und David Mazieres entwickelt wurde und auf der Blowfish-Verschlüsselung basiert. In Frameworks wie Laravel, Spring Security und Django (als einer von mehreren unterstützten Hashern) ist Bcrypt die Standardauswahl. Dieses Tool generiert aus jedem Passwort einen Hash und prüft im Verifizierungsmodus, ob ein Passwort mit einem Hash übereinstimmt, den Sie bereits haben.

Bcrypt macht zwei Dinge, die ein roher SHA-256 nicht tut. Es salzt jeden Hash mit 16 zufälligen Bytes, die in die Ausgabe eingebacken sind, sodass zwei Benutzer mit demselben Passwort unterschiedliche Hashes erhalten und vorberechnete Regenbogentabellen nutzlos sind. Und es ist absichtlich langsam: Ein Kostenfaktor von 4 bis 31 steuert, wie viele Schlüsselerweiterungsrunden ausgeführt werden, wodurch sich die Arbeit mit jedem Schritt verdoppelt. Diese Langsamkeit ist der springende Punkt. Ein schneller Hash lässt einen Angreifer mit einer durchgesickerten Datenbank Milliarden von Vermutungen pro Sekunde auf einer GPU ausprobieren; Ein Kosten-12-Bcrypt-Hash benötigt über Nacht eine Fünftelsekunde oder so viel CPU-Zeit, die einen Angreifer in eine Handvoll gestohlene-Datenbank umsetzt.

Das Ausgabeformat ist selbstbeschreibend Ein Hash wie $2b$12$R9 h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW packt vier Felder, die durch Dollarzeichen getrennt sind: die Version (2 b), die Kosten (12), und dann ein 22-stelliges Base64-Salz gefolgt vom 31-stelligen Digest Da sich das Salz und die Kosten innerhalb des Hash bewegen, benötigt die Verifizierung nichts als das Passwort und die Hash-Zeichenfolge, was genau der Verifizierungsmodus hier verwendet.

In Ihrem Browser läuft alles clientseitig. Das von Ihnen eingegebene Passwort, der von Ihnen eingefügte Hash und das generierte Salt verlassen niemals die Registerkarte, drücken keinen Server und landen ohne Protokoll. Das Netzwerkpanel Ihrer Entwicklertools zeigt die einzigen Anfragen an. Die einzigen Anfragen sind eine Nutzungsprüfung und ein Nutzungsdatensatz, die die Kosteneinstellung, aber niemals das Passwort oder den Hash enthalten. Der bcrypt-Algorithmus ist in reinem TypeScript implementiert, sodass das Tool auch offline funktioniert, sobald die Seite geladen wurde. Die Ausgabe ist Byte für Byte kompatibel mit OpenBSD, PHP Passwort_hash (PASSWORD_BCRYPT), Node bcrypt-Bibliotheken und die bcrypt-Verifizierer in jedem wichtigen Framework, also funktioniert ein hier generiertes und umgekehrt.

Eine schnelle Möglichkeit, den bcrypt-Hash-Generator auszuprobieren, ist das Sample In Generate drücken Sie Load Sample, um die richtige Pferdebatterie-Staple auszufüllen, lassen Sie den Kostenfaktor bei 10 und drücken Sie Hash erzeugen Sie erhalten eine 60-Zeichen-Zeichenfolge, die $2 b$10$ beginnt, und drücken Sie Hash erneut Generate ergibt ein anderes, denn das Salz ist jedes Mal neu In Verify füllt Load Sample einen gespeicherten Hash und dasselbe Passwort aus, und Verify berichtet Match (Kosten 10). Ändern Sie den ersten Buchstaben in ein großes C und es meldet keine Übereinstimmung. Diese Hin-Rundreise sollte ein bcrypt-Passwort-Generator beweisen.