Generador BCrypt

Un generador de bcrypt convierte una contraseña simple en un hash de bcrypt: una cadena de 60 caracteres que almacena de forma segura la contraseña sin conservarla. Bcrypt es una función de hash de contraseñas diseñada por Niels Provos y David Mazieres en 1999, basada en el cifrado Blowfish, y sigue siendo la opción predeterminada en marcos como Laravel, Spring Security y Django (como uno de varios hashs compatibles). Esta herramienta genera un hash a partir de cualquier contraseña y, en modo de verificación, verifica si una contraseña coincide con un hash que ya tiene.

Bcrypt hace dos cosas que un SHA-256 sin formato no hace. Sale cada hash con 16 bytes aleatorios ingresados en la salida, por lo que dos usuarios con la misma contraseña obtienen hashes diferentes y las tablas de arcoíris precalculadas son inútiles. Y es deliberadamente lento: un factor de costo de 4 a 31 controla cuántas rondas de expansión de claves se ejecutan, duplicando el trabajo con cada paso. Esa lentitud es el punto. Un hash rápido permite a un atacante con una base de datos filtrada probar miles de millones de conjeturas por segundo en una GPU; un hash bcrypt de costo 12 requiere aproximadamente un quinto de segundo de tiempo de CPU, lo que limita a un atacante a un puñado de conjeturas por segundo por núcleo, que es lo que evita que una base de datos robada se convierta en una lista de contraseñas de texto sin formato de la noche a la mañana.

El formato de salida es autodescrito. Un hash como $2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW incluye cuatro campos separados por signos de dólar: la versión (2b), el costo (12) y luego un salt Base64 de 22 caracteres seguido del resumen de 31 caracteres. Debido a que la sal y el costo viajan dentro del hash, la verificación no necesita nada más que la contraseña y la cadena del hash, que es exactamente lo que usa el modo de verificación aquí.

Todo se ejecuta en el lado del cliente en su navegador. La contraseña que escribe, el hash que pega y la sal que se genera nunca salen de la pestaña, no llegan a ningún servidor y no llegan a ningún registro. El panel de red de sus herramientas de desarrollador muestra que las únicas solicitudes son una verificación de uso y un registro de uso, que incluye la configuración de costos pero nunca la contraseña o el hash. El algoritmo bcrypt se implementa en TypeScript puro, por lo que la herramienta también funciona sin conexión una vez que se ha cargado la página. La salida es compatible byte por byte con OpenBSD, PHP contraseña_hash (PASSWORD_BCRYPT), bibliotecas Node bcrypt y verificadores bcrypt en todos los marcos principales, por lo que un hash generado aquí se valida en su aplicación y viceversa.

Una forma rápida de probar el generador de hash bcrypt es la muestra. En Generar, presione Cargar muestra para completar la grapa de batería de caballo correcta, deje el factor de costo en 10 y presione Generar hash. Obtienes una cadena de 60 caracteres a partir de $2b$10$, y al presionar Generar hash nuevamente se obtiene una diferente, porque la sal es nueva cada vez. En Verificar, Cargar muestra llena un hash almacenado y la misma contraseña, y Verificar informes Coincidencia (costo 10). Cambie la primera letra a una C mayúscula y no informará ninguna coincidencia. Ese viaje de ida y vuelta es lo que debería demostrar un generador de contraseñas bcrypt.